NetBackup™ コマンドリファレンスガイド
- 概要
- 付録 A. NetBackup コマンド
- acsd
- backupdbtrace
- backuptrace
- bmrc
- bmrconfig
- bmrepadm
- bmrprep
- bmrs
- bmrsrtadm
- bp
- bparchive
- bpbackup
- bpbackupdb
- bpcatarc
- bpcatlist
- bpcatres
- bpcatrm
- bpcd
- bpchangeprimary
- bpcleanrestore
- bpclient
- bpclimagelist
- bpclntcmd
- bpclusterutil
- bpcompatd
- bpconfig
- bpdbjobs
- bpdbm
- bpdgclone
- bpdown
- bpduplicate
- bperror
- bpexpdate
- bpfis
- bpflist
- bpgetconfig
- bpgetdebuglog
- bpimage
- bpimagelist
- bpimmedia
- bpimport
- bpinst
- bpkeyfile
- bpkeyutil
- bplabel
- bplist
- bpmedia
- bpmedialist
- bpminlicense
- bpnbat
- bpnbaz
- bppficorr
- bpplcatdrinfo
- bpplclients
- bppldelete
- bpplinclude
- bpplinfo
- bppllist
- bpplsched
- bpplschedrep
- bpplschedwin
- bppolicynew
- bpps
- bprd
- bprecover
- bprestore
- bpretlevel
- bpschedule
- bpschedulerep
- bpsetconfig
- bpstsinfo
- bpstuadd
- bpstudel
- bpstulist
- bpsturep
- bptestbpcd
- bptestnetconn
- bpup
- bpverify
- cat_convert
- cat_export
- cat_import
- configureCerts
- configureMQ
- configureWebServerCerts
- create_nbdb
- csconfig cldinstance
- csconfig cldprovider
- csconfig meter
- csconfig reinitialize
- csconfig throttle
- duplicatetrace
- importtrace
- jbpSA
- jnbSA
- ltid
- mklogdir
- msdpcldutil
- nbauditreport
- nbcallhomeproxyconfig
- nbcatsync
- NBCC
- NBCCR
- nbcertcmd
- nbcertupdater
- nbcldutil
- nbcmdrun
- nbcomponentupdate
- nbcplogs
- nbcredkeyutil
- nbdb_admin
- nbdb_backup
- nbdb_move
- nbdb_ping
- nbdb_restore
- nbdb_unload
- nbdb2adutl
- nbdbms_start_server
- nbdbms_start_stop
- nbdc
- nbdecommission
- nbdelete
- nbdeployutil
- nbdevconfig
- nbdevquery
- nbdiscover
- nbdna
- nbemm
- nbemmcmd
- nbfindfile
- nbfirescan
- nbfp
- nbftadm
- nbftconfig
- nbgetconfig
- nbhba
- nbholdutil
- nbhostidentity
- nbhostmgmt
- nbhypervtool
- nbidpcmd
- nbimageshare
- nbinstallcmd
- nbjm
- nbkmiputil
- nbkmscmd
- nbkmsutil
- nboraadm
- nborair
- nbpem
- nbpemreq
- nbmariadb
- nbmlb
- nbperfchk
- nbplupgrade
- nbrb
- nbrbutil
- nbreplicate
- nbrepo
- nbrestorevm
- nbseccmd
- nbserviceusercmd
- nbsetconfig
- nbshvault
- nbsmartdiag
- nbsnapimport
- nbsnapreplicate
- nbsqladm
- nbsqlite
- nbstl
- nbstlutil
- nbstop
- nbsu
- nbsvrgrp
- netbackup_deployment_insights
- resilient_clients
- restoretrace
- stopltid
- tldd
- tldcd
- tpautoconf
- tpclean
- tpconfig
- tpext
- tpreq
- tpunmount
- verifytrace
- vltadm
- vltcontainers
- vlteject
- vltinject
- vltoffsitemedia
- vltopmenu
- vltrun
- vmadd
- vmchange
- vmcheckxxx
- vmd
- vmdelete
- vmoprcmd
- vmphyinv
- vmpool
- vmquery
- vmrule
- vmupdate
- vnetd
- vssat
- vwcp_manage
- vxlogcfg
- vxlogmgr
- vxlogview
- W2KOption
名前
vssat — 認証サービス (AT) とそのオプションを設定します。
概要
vssat addldapdomain -d DomainName -s server_URL -u user_base_DN -g group_base_DN -m admin_user_DN [-w admin_user_password] [-f trusted_CA_file_name] [-tp TLS_protocol_version_to_be_disabled] [-cs cipher_suite_list] [-t rfc2307 | msad | {-c user_object_class -a user_attribute -q user_GID_attribute -un user_display_name_attribute -ui user_ID_attribute -ud user_description_attribute -x group_object_class -y group_attribute -z group_GID_attribute -gn group_display_name_attribute -gi group_ID_attribute -gd group_description_attribute [-k DN | UID]]} [-F]
vssat listldapdomains [-F]
vssat removeldapdomain -d DomainName [-F]
vssat validategroup --groupname name --domain type:name --broker host:1556:nbatd [-F]
vssat validateprpl --prplname prpl_name --domain type:name --broker host:1556:nbatd [-F]
On UNIX systems, the directory path to this command is /usr/openv/netbackup/sec/at/bin/
On Windows systems, the directory path to this command is install_path\NetBackup\sec\at\bin\
説明
認証ブローカーに LDAP ドメインを追加するには、vssat addldapdomain コマンドを使用します。vssat コマンドを実行するには、管理者権限が必要です。LDAP ドメインを追加するには、次の情報を決定する必要があります。
使用中の LDAP ディレクトリの種類。
LDAP ディレクトリの種類により、使用する方式の種類が決まります。LDAP ディレクトリの種類として選択できるのは、Microsoft Active Directory、OpenLDAP、iPlanet などです。
LDAP ディレクトリへの URL。
たとえば、ldap:// my_ldap_host.mydomain.myenterprise.com:389 や ldaps:// my_ssl_ldap_host.mydomain.myenterperise.com などです。LDAP の URL は、SSL 以外の場合は ldap://、SSL 対応の LDAP ディレクトリの場合は ldaps:// で始める必要があることに注意します。
users コンテナの識別名 (DN)。
通常、users コンテナは、ネーミングコンテキストのいずれかにあります。ほとんどの LDAP ディレクトリに対し、ディレクトリのベンダーが提供する ldapsearch ユーティリティを使用してネーミングコンテキストを検索できます。例:
ldapsearch --group_object_class -h my_host --server_url base -- auth_type "" namingContexts
Microsoft Active Directory の場合、users コンテナは、cn=users,dc=domain_name,dc=enterprise_name,dc=com のようになります。
groups コンテナの識別名 (DN)。
通常、groups コンテナは、ネーミングコンテキストのいずれかにあります。ほとんどの LDAP ディレクトリに対し、ディレクトリのベンダーが提供する ldapsearch ユーティリティを使用してネーミングコンテキストを検索できます。例:
ldapsearch --group_object_class -h my_host --server_url base -- auth_type "" namingContexts
Microsoft Active Directory の場合、groups コンテナは、cn=users,dc=domain_name,dc=enterprise_name,dc=com のようになります。
ユーザーとグループを支援するスキーマ。
企業は、RFC (Request For Comments) 2307 に従って NIS データを LDAP ディレクトリに移行する場合、RFC 2307 スキーマを使用する必要があります。RFC 2307 は、ユーザーオブジェクトを支援するため、posixAccount オブジェクトクラスを使用します。また、グループオブジェクトを支援するために posixGroup オブジェクトクラスを使用します。企業が Microsoft Active Directory を使用している場合は、Microsoft Active Directory スキーマを使用する必要があります。このスキーマでは、user オブジェクトクラスが user オブジェクトと group オブジェクトを支援します。
企業が RFC 2307 も Microsoft Active Directory も使用しない場合は、次の項目を決定する必要があります。
ユーザーオブジェクトを支援する LDAP オブジェクトクラス。
グループオブジェクトを支援する LDAP オブジェクトクラス。
ユーザー名または ID を支援する、ユーザーオブジェクトクラスのユーザー属性。
Veritas は、ユーザーエントリに DN を構築するために、user_attribute=user_name,user_container_DN のルールを使用します。たとえば、ユーザー属性に cn、ユーザーコンテナ DN に dc=mydomain,dc=myenterprise,dc=com、認証呼び出しのユーザー名に jdoe を構成した場合、jdoe の LDAP DN は cn=jdoe,dc=mydomain,dc=myenterprise,dc=com となります。
指定したユーザーが属するグループを識別するための、ユーザーオブジェクトクラスのグループ識別子 (GID) 属性。
グループ名を識別しやすくするための、グループオブジェクトクラスのグループ属性。
Veritas は、グループエントリに DN を構築するために、group_attribute=group_name,group_container_DN のルールを使用します。たとえば、グループ属性に cn、グループコンテナ DN に dc=mydomain,dc=myenterprise, dc=com、グループ名に adm を構成した場合、adm の LDAP DN は cn=adm,dc=mydomain,dc=myenterprise,dc=com となります。
指定したグループのグループ ID を識別しやすくするための、グループオブジェクトクラスのグループ ID 属性。
LDAP ドメインを追加した後、ブローカーを再起動する必要はありません。
認証ブローカー内のすべての LDAP ドメインを一覧表示するには、vssat listldapdomains コマンドを使用します。このコマンドには、追加のパラメータは必要ありません。「例」セクションに、このコマンドの例を示します。
認証ブローカーから LDAP ドメインを削除するには、vssat removeldapdomain を使用します。
vssat validategroup コマンドを使用して、指定したドメインのユーザーグループの有無を確認します。
vssat validateprpl コマンドを使用して、指定したドメインのユーザーの有無を確認します。
メモ:
vssat コマンドはクラスタのアクティブノードでのみ実行できます。vssat
オプション
- -a, --user_attribute user_attribute
ユーザーオブジェクトクラス内のユーザー属性を指定します。使用する構文は、user_attribute=prplname,user_base_DN です。jdoe の LDAP DN は cn=jdoe,dc=mydomain,dc=myenterprise,dc=com です。
user_attribute は cn です。
prplname は jdoe です。
user_base_DN は dc=mydomain,dc=myenterprise,dc=com です。
-t オプションを使用する場合、このオプションは使用しないでください。
- --broker host:1556:nbatd
ブローカーのホストおよびポート。
- -c, --user_object_class user_object_class
ユーザーオブジェクトの LDAP オブジェクトクラス (posixAccount) を指定します。schema_type が定義されている場合、user_object_class は使用しないでください。schema_type が定義されていない場合は、user_object_class を使用する必要があります。
- -cs, -cipher_suite_list
コロンで区切られた TLS 暗号スイートのリスト。このパラメータは、LDAP サーバーの URL が ldaps:// で始まる場合に使用する必要があります。デフォルトのリストは次のとおりです。
ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-GCM-SHA384:ECDHE-RSA- AES256-SHA384:ECDHE-RSA-AES256-SHA:DHE-RSA-AES256-SHA
- -d, --domain DomainName
LDAP ドメインを一意に識別するシンボリック名。
- --domain type:name
検証するグループまたはプリンシパルを保持するドメインの名前。必要に応じて、ドメイン形式に ldap を使用します。
- -F, --enable_fips
コマンドを FIPS モードで実行します。デフォルトでは、FIPS モードは無効です。
- -f, --server_trusted_ca_file trusted_CA_file_name
信頼される CA 証明書を含む、PEM 形式のファイルへの完全なパス。このパラメータは、LDAP サーバーの URL が ldaps:// で始まり、LDAP サーバーのセキュリティ証明書に署名した認証局が次のいずれにも当てはまらない場合に使用する必要があります。
CyberTrust
digicert
GeoTrust
Certification Services Division
VeriSign Trust Network
RSA Security Inc.
GlobalSign
Veritas Corporation
- -g, --group_base_dn group_base_DN
グループコンテナの LDAP 識別名。たとえば、ou=group,dc=mydomain,dc=myenterprise,dc=com となります。
- -gd, --group_description_attr group_description_attribute
ディレクトリサービスにあるグループの説明を定義する属性名。
- -gi, --group_id_attr group_ID_attribute
ディレクトリサービスにあるグループの一意の識別子を定義する属性名。
- -gn, --group_dispname_attr group_display_name_attribute
ディレクトリサービスにあるグループの表示名を定義する属性名。
- --groupname name
検証するグループの名前。
- -k, --group_gid_attribute_type DN | UID
グループの GID 属性のストレージタイプを指定します。
- -m, --admin_user admin_user_DN
このオプションは、管理ユーザーまたはユーザーコンテナの検索権限を持つユーザーの DN、または UserBaseDN で指定したユーザーサブツリーを含む文字列です。匿名ユーザーを含むすべてのユーザーがユーザーコンテナを検索できる場合は、このオプションを空の文字列として設定できます。たとえば、--admin_user= となります。この設定は、ユーザーコンテナの検索をすべてのユーザーに許可します。
- --prplname prpl_name
検証するプリンシパルの名前。
- -q, --user_gid_attribute user_GID_attribute
ユーザーが所属するグループを取得するユーザーオブジェクトクラス内の属性を指定します。-t オプションを使用する場合、このオプションは使用しないでください。
- -s, -server_url server_URL
指定したドメインの LDAP ディレクトリサーバーの URL。LDAP サーバーの URL は、 ldap:// または ldaps:// で始まる必要があります。ldaps:// で始まる場合は、指定した LDAP サーバーが SSL 接続を要求することを示します。たとえば ldaps://my-server.myorg.com:636 です。
- -t, --schema_type schema_type
使用する LDAP スキーマの種類を指定します。-t オプションを使用する場合、-a、-i、および -o のオプションは省略する必要があります。これらの値は、選択したスキーマの種類に基づいて自動的に設定されます。-t を使用しない場合は、rfc2307 パラメータも msad パラメータも自動的には設定されません。これらの値は手動で指定する必要があります。2 種類のデフォルトのスキーマがサポートされています。
rfc2307: RFC 2307 で指定されているスキーマ。RFC2307 の場合、次のスキーマを使用します。
ユーザーオブジェクトクラス: posixAccount
ユーザー検索属性: uid
ユーザー固有の ID 属性: uidNumber
ユーザー表示名の属性: cn
ユーザーの説明の属性: description
ユーザー GID 属性: gidNumber
グループオブジェクトクラス: posixGroup
グループ検索属性: cn
グループ固有の ID の属性: gidNumber
グループ表示名の属性: cn
グループの説明の属性: description
グループ GID 属性: memberUid
msad: Microsoft Active Directory スキーマ。Microsoft Active Directory の場合は、次のスキーマを使用します。
ユーザーオブジェクトクラス: user
ユーザー検索属性: sAMAccountName
ユーザー固有の ID 属性: objectSid
ユーザー表示名の属性: displayName
ユーザーの説明の属性: description
ユーザー GID 属性: memberOf
グループオブジェクトクラス: group
グループ検索属性: sAMAccountName
グループ固有の ID の属性: objectSid
グループ表示名の属性: displayName
グループの説明の属性: description
グループ GID 属性: cn
- -tp, -disable_tls_protocol
指定した TLS プロトコルとそれ以前のすべてのバージョンを無効にします。
このパラメータは、LDAP サーバーの URL が ldaps:// で始まる場合に使用する必要があります。サポートされる値は、SSLv2、SSLv3、TLSv1、および TLSv1.1 です。デフォルト値は TLSv1.1 です。
- -u, --user_base_dn user_base_DN
ユーザーコンテナの LDAP 識別名。たとえば、ou=user,dc=mydomain,dc=myenterprise,dc=com となります。
- -ud, --user_description_attr user_description_attribute
ディレクトリサービスにあるユーザーの説明を定義する属性名。
- -ui, --user_id_attr user_ID_attribute
ディレクトリサービスにあるユーザーの一意の識別子を定義する属性名。
- -un, --user_dispname_attr user_display_name_attribute
ディレクトリサービスにあるユーザーの表示名を定義する属性名。
- -w, --admin_user_password admin_user_password
この属性は、-m オプションで指定されたユーザーのバインドパスワードを含む文字列です。-m が空の文字列の場合、このオプションも空の文字列でなければなりません。たとえば、--admin_user_password= となります。パスワードはテキスト形式で渡されますが、暗号化形式で格納されます。-w オプションにパスワードを指定しない場合、NetBackup はパスワードの入力を求めます。
- -x, --group_object_class group_object_class
グループオブジェクトの LDAP オブジェクトクラス (posixGroup) を指定します。-t オプションを使用する場合、このオプションは使用しないでください。
- -y, --group_attribute group_attribute
グループオブジェクトクラス内のグループ属性を指定します。使用する構文は、group_attribute=group,group_base_DN です。たとえば、adm の LDAP DN は cn=adm,dc=mydomain,dc=myenterprise,dc=com です。
group_attribute は cn です。
group は adm です。
group_base_DN は dc=mydomain,dc=myenterprise,dc=com です。
-t オプションを使用する場合、このオプションは使用しないでください。
- -z, --group_gid_attribute group_GID_attribute
グループを取得するグループオブジェクトクラス内の属性を指定します。-t オプションを使用する場合、このオプションは使用しないでください。
例
例 1: vssat コマンドを使用して、認証ブローカーの LDAP ドメインを一覧表示します。
vssat listldapdomains Listldapdomains ---------------------- ---------------------- Found: 1 Domain Name: VSS Server URL: ldap://your_ldap_server.com SSL Enabled: No User Base DN: distinguish name of your user container User Object Class: posixAccount User Attribute: uid User GID Attribute: gidNumber Group Base DN: distinguish name of your group container Group Object Class: posixGroup Group Attribute: cn Group GID Attribute: gidNumber
例 2: 構成ファイルに AT 構成パラメータを格納します。
vssat addldapdomain --domainname MYADDOMAIN --server_url ldap:// my_ad_host.mydomain.myenterprise.com --user_base_dn cn=users,dc=mydomain, dc=myenterprise,dc=com --group_base_dn dc=users,dc=mydomain,dc=myenterprise, dc=com --schema_type msad --admin_user cn=Administrator,cn=users,dc= mydomain,dc=myenterprise,dc=com