Veritas Backup Exec 管理者ガイド

Backup Exec での暗号化の使用

Backup Exec では、データを暗号化することができます。データを暗号化すると、そのデータは不正なアクセスから保護されます。データのアクセスには暗号化キーが必要です。Backup Exec ではソフトウェア暗号化が提供されますが、T10 標準のハードウェア暗号化機能を提供する一部のデバイスもサポートされます。バックアップジョブに使うストレージデバイスを指定すると、Backup Exec は暗号化を設定します。

Backup Exec では、128 ビット AES (Advanced Encryption Standard) と 256 ビット AES の 2 つのセキュリティレベルの暗号化をサポートしています。256 ビット AES 暗号化は、キーが 128 ビット AES のキーよりも長いため、より強力なセキュリティレベルを実現します。ただし、128 ビット AES を使用した暗号化の方がバックアップジョブを速く実行できます。T10 標準を使用するハードウェア暗号化には、256 ビット AES が必要です。

バックアップ複製ジョブの実行時に、すでに暗号化されたバックアップセットが再度暗号化されることはありません。ただし、暗号化されていないバックアップセットを暗号化することができます。

このトピックには次の情報が含まれます。

ソフトウェア暗号化

ハードウェア暗号化

暗号化キー

所有者専用キーと共用キー

パスフレーズ

Backup Exec のインストール時に、インストールプログラムによって、暗号化ソフトウェアが Backup Exec サーバーと Backup Exec Agent を使用するすべてのリモートコンピュータにインストールされます。Backup Exec では、Backup Exec Agent を使用するコンピュータでデータを暗号化して、暗号化されたデータを Backup Exec サーバーに転送できます。その後、Backup Exec は設定に基づいてテープまたはディスクストレージに暗号化データを書き込みます。

Backup Exec のメタデータやディスク上のカタログファイルおよびディレクトリ情報は暗号化されません。

バックアップジョブに対して、暗号化とともにソフトウェア圧縮を使用できます。Backup Exec では、ファイルを圧縮してから暗号化が行われます。ただし、暗号化圧縮とソフトウェア圧縮の両方を行う場合は、バックアップジョブにかかる時間が長くなります。

ハードウェア圧縮をソフトウェア暗号化とともに使用することはお勧めしません。ハードウェア圧縮は、暗号化の後に実行されます。暗号化処理中にデータはランダムな状態になります。ランダムな状態のデータで圧縮は効果的に動作しません。

Backup Exec では、T10 暗号化標準を使用するストレージデバイスのハードウェア暗号化がサポートされます。ハードウェア暗号化を使うと、データをホストコンピュータからストレージデバイスに伝送してそのデバイスで暗号化します。暗号化されたデータへのアクセスに使用する暗号化キーは、Backup Exec によって管理されます。

Backup Exec では、T10 暗号化に対して認定されたデバイスのみがサポートされます。

互換性があるデバイスのリストは、次の URL で参照できます。

https://www.veritas.com/support/ja_JP/article.000017788

Backup Exec で暗号化を使うには、暗号化キーを作成する必要があります。作成された暗号化キーは、ログオンしているユーザーのセキュリティ ID に基づいて、識別子によってマークされます。キーを作成したユーザーが、キーの所有者になります。

合成バックアップに暗号化を使用する場合は、関連付けられたすべてのバックアップで同じ暗号化キーを使う必要があります。ベースラインが作成された後は、暗号化キーを変更しないでください。ベースラインのバックアップに選択した暗号化キーは、関連するすべてのバックアップに自動的に適用されます。

リストア対象として暗号化されたデータを選択すると、そのデータの暗号化キーがデータベースに存在するかどうかが確認されます。キーが存在しない場合、消失したキーを再作成するようにメッセージが表示されます。ジョブの実行をスケジュール設定した後にキーを削除した場合、ジョブは失敗します。

Backup Exec では、カタログジョブの実行中に暗号化キーが見つからない場合、アラートが送信されます。その後、パスフレーズを知っている場合は、消失した暗号化キーを再作成することができます。

Simplified Disaster Recovery は、以前に暗号化したバックアップセットを使ったコンピュータのリカバリをサポートします。バックアップ時に暗号化した Simplified Disaster Recovery バックアップがある場合は、このコンピュータをリカバリするウィザードでリカバリの完了に必要な暗号化バックアップセットそれぞれのパスフレーズを入力するように求められます。

暗号化キーの管理を参照してください。

Backup Exec には、次の種類の暗号化キーが用意されています。

暗号化キーにはパスフレーズが必要です。パスフレーズはパスワードと似ています。 通常、パスフレーズはパスワードよりも長く、いくつかの文字列またはテキストの集まりで構成されます。 パスフレーズは、8 文字から 128 文字までの間で指定することをお勧めします。128 ビット AES 暗号化の最小文字数は 8 文字です。 256 ビット AES 暗号化の最小文字数は 16 文字です。最小文字数よりも多い文字数を使用することをお勧めします。

また、パスフレーズには、大文字や小文字の半角の文字、数字、特殊文字のすべての組み合わせを含めることをお勧めします。パスフレーズに引用符を使用しないでください。

パスフレーズには、印刷可能な ASCII 文字 (コード 32 から 126) のみを含めることができます。ASCII 文字コード 32 は空白文字であり、キーボードのスペースバーを使用して入力します。 ASCII 文字コード 33 から 126 を次に示します。

!"#$%&'()*+,-./0123456789:;<=>?@ABCDEFGHIJKLMNOPQRSTUVWXYZ

[\]^_'abcdefghijklmnopqrstuvwxyz{|}~

暗号化キーの管理を参照してください。