Search <book_title>...

Guide de l'administrateur NetBackup ™ Cloud

Last Published: 2023-12-28

Product(s): NetBackup (10.3)

A propos de l'utilisation des rôles IAM Amazon avec NetBackup

Un rôle AWS IAM est une identité Amazon Web Services (AWS) associée à la politique d'autorisation qui détermine les tâches qu'une identité peut effectuer. Vous pouvez utiliser des rôles pour déléguer l'accès à des utilisateurs, à des applications ou aux services qui n'ont normalement pas accès aux ressources AWS. Un rôle doit pouvoir être utilisé par toute personne qui en a besoin. Si un utilisateur assume un rôle, des informations d'authentification de sécurité temporaires sont créées de façon dynamique et fournies à l'utilisateur.

Par exemple, une application en cours d'exécution sur les instances AWS Elastic Compute Cloud (EC2) requiert des informations d'authentification pour accéder aux autres services AWS, tels que le service S3. Avec l'approche traditionnelle, vous fournissez la clé d'accès aux informations d'authentification et la clé d'accès secrète. Avec les rôles IAM, la connexion à d'autres services AWS s'effectue grâce à des informations d'authentification temporaires.

Remarques

NetBackup prend en charge les rôles AWS IAM pour les opérations de sauvegarde basée sur les flux, où :

NetBackup utilise le rôle AWS IAM associé aux instances AWS EC2 sur lesquelles le serveur de médias est configuré pour toutes les communications de stockage S3.
NetBackup récupère le nom de rôle et les informations d'authentification temporaires en se connectant aux métadonnées de l'instance AWS EC2.
Le serveur principal NetBackup peut être déployé sur l'instance AWS EC2 ou sur site. Vous devez définir les paramètres réseau requis pour la communication entre les serveurs principal et de médias.
Le serveur de médias NetBackup qui utilise le rôle IAM pour sauvegarder des données dans le cloud doit être déployé sur l'instance AWS EC2.
Le rôle AWS IAM disposant des autorisations requises doit être associé au serveur de médias NetBackup en cours d'exécution sur l'instance AWS EC2. Se reporter à Autorisations requises pour l'utilisateur des fournisseurs cloud Amazon S3.
Les données de sauvegarde sont enregistrées sur le stockage S3 du même compte AWS où est créé le rôle AWS IAM.
NetBackup prend en charge l'authentification basée sur le rôle AWS IAM pour les fournisseurs cloud Amazon et Amazon Gov.
Vous pouvez modifier le serveur de stockage en cloud existant (alias) afin d'utiliser le rôle AWS IAM pour l'authentification à l'aide de la commande csconfig uniquement.
Utilisez la console de gestion AWS pour effectuer les opérations d'allocation, de modification et de révocation de rôle IAM. NetBackup ne stocke aucune information spécifique du rôle.
Assurez-vous que le serveur de médias NetBackup peut accéder au service de métadonnées de l'instance AWS EC2 (IMDS,Instance Metadata Service). Pour vérifier, utilisez les commandes AWS.
Vous pouvez accéder aux métadonnées d'instance à partir d'une instance en cours d'exécution à l'aide d'IMDSv1 ou d'IMDSv2.
Remarque :
Le stockage cloud MSDP prend en charge IMDSv2. Le connecteur cloud Amazon S3 ne prend pas en charge IMDSv2.
IMDSv2 fournit une défense supplémentaire contre les pare-feux ouverts, les proxys inversés et les vulnérabilités SSRF grâce aux améliorations apportées au service de métadonnées d'instance EC2. Nous vous recommandons d'utiliser IMDSv2. Pour plus d'informations, consultez la documentation AWS.
Pour configurer votre instance à l'aide d'IMDSv2, consultez la page Configurer les options de métadonnées d'instance.
Par exemple :
Pour obtenir le nom de rôle, exécutez :
TOKEN=`curl -X PUT "http://169.254.169.254/latest/api/token" -H "X-aws-ec2-metadata-token-ttl-seconds: 21600"` && curl -H "X-aws-ec2-metadata-token: $TOKEN" -v http://169.254.169.254/latest/meta-data/iam/security-credentials/
Pour obtenir les informations d'authentification, exécutez :
TOKEN=`curl -X PUT "http://169.254.169.254/latest/api/token" -H "X-aws-ec2-metadata-token-ttl-seconds: 21600"` && curl -H "X-aws-ec2-metadata-token: $TOKEN" -v http://169.254.169.254/latest/meta-data/iam/security-credentials/role-namerole-name
Pour les déploiements IPv6 uniquement, vous ne pouvez pas utiliser le rôle AWS IAM, car le service de métadonnées d'instance AWS EC2 n'est pris en charge que pour IPv4.
Le rôle AWS IAM est également pris en charge avec le serveur de stockage de niveaux cloud directs MSDP.

Déploiement d'un rôle AWS IAM

Le diagramme suivant illustre le déploiement :

Comme illustré dans le schéma, procédez comme suit pour utiliser le rôle AWS IAM avec NetBackup :

Le serveur principal NetBackup peut être déployé sur site ou dans le cloud.
Les données de sauvegarde sont enregistrées sur le stockage S3 du même compte AWS où est créé le rôle AWS IAM.
Le rôle AWS IAM est associé à l'instance AWS EC2 sur laquelle le serveur de médias est en cours d'exécution.

Remarque :

Si le rôle est associé à l'instance AWS EC2 qui a accès au stockage S3, l'utilisateur NetBackup n'a pas besoin de fournir d'informations d'authentification.

Conseil : vous obtiendrez de meilleures performances si les clients NetBackup sont déployés dans le cloud.