Sign In

Search <book_title>...

Veritas NetBackup™ 安全和加密指南

Last Published: 2021-01-01

Product(s): NetBackup (9.0)

KMS 注意事项

下表介绍了与 KMS 的功能和使用相关的一些注意事项：

表：KMS 的功能和使用方面的相关注意事项

注意事项	描述
新增了 NBKMS 服务	+nbkms 服务是基于主服务器的服务，可为介质服务器 BPTM 进程提供加密密钥。
新的 nbkmsutil KMS 配置实用程序	为了安全起见，只能从主服务器以 root 用户或管理员身份运行 KMS 配置实用程序。
NetBackup 的大范围更改	由于下列原因，需要在整个 NetBackup 中进行更改：允许卷池名称中有 ENCR_ 前缀。与密钥管理服务通信。为内嵌加密功能的 T10 / SCSI 标准磁带驱动器提供支持。 NetBackup GUI 和 CLI 进行了更改，以便除了报告 NetBackup 映像信息之外，还报告加密密钥标记 bpimmedia 和 bpimagelist 进行了修改。在该 NetBackup 版本中，重点放在可恢复性方面，并简化了使用建议的选项是使用通行短语生成所有加密密钥。您键入一个通行短语，密钥管理系统会使用该通行短语创建一个可复制的加密密钥。
KMS 安装和部署决定	要部署 KMS，必须做出下列决策：是选择 KMS 随机生成的密钥还是通行短语生成的密钥是否包括 NBAC 部署
KMS 安全	对现有的 NetBackup 服务没有添加任何负担，但安全方面有更多保障。
密码类型	KMS 中支持下列密码类型： AES_128 AES_192 AES_256（默认密码）
KMS 可恢复性	可以通过根据通行短语生成所有加密密钥的方式使用 KMS。您可以记录这些通行短语，以便将来使用它们为 NetBackup 重新创建整个 KMS。如果随机生成的密钥丢失，则无法恢复，因此不建议这样做。
KMS 文件	下面是与它相关的用于保存密钥信息的 KMS 文件：密钥文件或密钥数据库包含数据加密密钥。密钥文件位于以下位置：在 UNIX 上：/usr/openv/kms/db/KMS_DATA.dat 在 Windows 上：NetBackup_install_path\kms\db\KMS_DATA.dat 主机主密钥包含使用 AES 256 加密并保护 KMS_DATA 密钥文件的加密密钥。主机主密钥位于以下位置：在 UNIX 上：/usr/openv/kms/key/KMS_HMKF.dat 在 Windows 上：NetBackup_install_path\kms\key\KMS_HMKF.dat 密钥保护密钥使用 AES 256 加密并保护 KMS_DATA 密钥文件中各个记录的加密密钥。密钥保护密钥位于以下位置：在 Unix 上：/usr/openv/kms/key/KMS_KPKF.dat 在 Windows 上：NetBackup_install_path\kms\key\KMS_KPKF.dat 目前，使用同一密钥保护密钥来加密所有记录。备份 KMS 文件如果要备份 KMS 文件，则应该遵循最佳做法。将 KMS 数据库文件放在一个磁带上，然后将 HMK 文件和 KPK 文件放在另一个磁带上。要访问已加密的磁带，需要获取这两个磁带。另一种替代方法是，在正常的 NetBackup 进程之外备份 KMS 数据文件。可以将这些文件复制到单独的 CD、DVD 或 USB 驱动器。注意: KMS 数据文件不会包括在 NetBackup 目录库备份中。也可以依靠通行短语生成的加密密钥来手动重建 KMS。所有密钥都可以使用密码和对应的 salt 生成。如果已记录所有加密密钥密码及其对应的 salt，则可以通过您记下的信息手动重新创建 KMS。如果您只有几个自己生成的加密密钥，此过程可能很短。
密钥记录	密钥记录包含许多字段，但主要记录是加密密钥、加密密钥标记和记录状态。密钥记录还包含一些元数据。这些密钥记录的定义如下：加密密钥此密钥将分配给磁带驱动器。加密密钥标记此标记是加密密钥的标识符。记录状态每个密钥记录都有一种状态。状态有活动前、活动、不活动、已过时以及已终止。元数据元数据包括逻辑名称、创建日期、修改日期和描述。
密钥组	密钥组是密钥记录的逻辑名称和分组。创建的所有密钥记录必须属于一个组。一个密钥组在任何时候都只能具有一个处于活动状态的密钥记录。NetBackup 支持 100 个密钥组。每个密钥组只允许有 30 个加密密钥。
磁带驱动器和介质功能	驱动器、磁带和 NetBackup 功能必须全部匹配，驱动器加密才能成功。许多驱动器符合 T10 标准。我们所支持的一些已知磁带驱动器（符合 T10 标准）是 LT0-4、LT0-5、LT0-6、IBM TS1120/30/40、Oracle T10000B/C 等。您仍然可以运行较早的 LTO 版本以便进行读取和写入，但您无法加密数据。例如，如果使用 LT02 介质，则可以在 LT04 驱动器中读入数据，但无法以未加密格式或加密格式写入这些数据。在运行设置加密时，必须记录这些驱动器问题和介质问题。您不但需要能加密的驱动器，还需要需进行分组且可以加密的介质。以后解密时，磁带必须放在能够解密的驱动器中。有关介质和磁带驱动器之间互操作性的简要信息，请参考表：介质支持加密。有关详细信息，建议参考供应商特定的用户指南。有关更多详细信息，请参考文章 HOWTO56305。
KMS 与 NBAC 一起使用	有关将 KMS 与 NBAC 一起使用的信息包含在本文档各小节的适当位置。有关更多信息，请参见 NetBackup NBAC 文档。
KMS 与 HA 群集一起使用	有关将 KMS 与 HA 群集一起使用的信息包含在本文档各小节的适当位置。有关更多信息，请参见 NetBackup HA 文档。
KMS 日志记录	该服务使用新的统一日志记录，并且已为该服务分配了 OID 286。nbkmsutil 命令使用传统日志记录，其日志可以在以下位置中找到：在 Unix 上：/usr/openv/netbackup/logs/admin/.log 在 Windows 上：NetBackup_install_path\NetBackup\logs\admin\.log
KMS 与云	在本文档各小节的适当位置，包含了有关将 KMS 与云提供程序一起使用的信息。有关更多信息，请参考 NetBackup 云管理指南。
KMS 与 AdvancedDisk	在本文档各小节的适当位置，包含了有关将 KMS 与 AdvancedDisk 存储一起使用的信息。有关更多信息，请参考 NetBackup AdvancedDisk 存储解决方案指南。
NBAC 和 KMS 权限	通常，在使用 NBAC 和运行 Setupmaster 命令时，会创建与 NetBackup 相关的组权限（例如，NBU_Admin 和 KMS_Admin）。默认的 root 和管理员用户也会添加到这些组中。在某些情况下，当升级 NetBackup 时，root 和管理员用户不会添加到 KMS 组中。解决方法是手动为 root 和管理员用户授予 NBU_Admin 和 KMS_Admin 权限。

表：介质支持加密

介质	LTO4 磁带驱动器	LTO5 磁带驱动器	LTO6 磁带驱动器
LTO-2 介质	只读不支持加密	不支持	不支持
LTO-3 介质	读写不支持加密	只读不支持加密	不支持
LTO-4 介质	读写启用加密	读写启用加密	已启用只读加密
LTO-5 介质	不支持	读写启用加密	读写启用加密
LTO-6 介质	不支持	不支持	读写启用加密