Search <book_title>...

Guide de sécurité et de chiffrement de Veritas NetBackup™

Last Published: 2018-03-28

Product(s): NetBackup (8.1.1)

Considérations de KMS

Le tableau suivant décrit les considérations associées à la fonctionnalité et aux utilisations du service KMS.

Tableau : Considérations associées à la fonctionnalité et aux utilisations du service KMS

Considération	Description
Nouveau service NBKMS	Le service nbkms est un service basé sur serveur maître, qui fournit des clés de chiffrement aux processus BPTM du serveur de médias.
Nouvel nbkmsutilutilitaire de configuration KMS	Pour des raisons de sécurité, l'utilitaire de configuration KMS peut uniquement être exécuté à partir du serveur maître en tant que racine ou administrateur.
Modifications à l'échelle de NetBackup	Les modifications, qui ont concerné NetBackup dans son ensemble, ont été apportées pour les raisons suivantes : Pour autoriser le préfixe ENCR_ sur les noms de pool de volumes. Pour communiquer avec le service Gestion des clés. Pour prendre en charge les lecteurs de bande standard T10/SCSI avec chiffrement intégré. Modifications de l'interface utilisateur graphique et de l'interface de ligne de commande de NetBackup pour signaler l'ajout d'une étiquette de clé de chiffrement aux informations d'image NetBackup Les commandes bpimmediaetbpimagelistont été modifiées. Accentuation de la récupérabilité et de la facilité d'utilisation de cette version NetBackup L'option recommandée est que toutes les clés de chiffrement soient générées avec des phrases de passe. Vous saisissez une phrase de passe, et le système de gestion des clés crée une clé de chiffrement reproductible à partir de cette phrase de passe.
Décisions d'installation et de déploiement de KMS	La liste suivante répertorie les décisions que vous devez prendre pour le déploiement KMS : Clés générées aléatoirement par KMS ou clés générées par phrase de passe Inclure ou non le déploiement NBAC
Sécurité de KMS	Les services NetBackup existants présentant des problèmes de sécurité supplémentaires ne sont pas sollicités de manière excessive.
Types de chiffre	Les types de chiffre suivants sont pris en charge dans le KMS : AES_128 AES_192 AES_256 (chiffre par défaut)
Récupérabilité de KMS	Vous pouvez utiliser le KMS de manière à ce que toutes les clés de chiffrement soient générées à partir de phrases de passe. Vous pouvez enregistrer ces phrases de passe, puis les utiliser ultérieurement pour recréer le KMS entier pour NetBackup.
Fichiers du KMS	Les fichiers du KMS qui lui sont associés et contenant les informations sur les clés, comme suit : Fichier ou base de données des clés Contient les clés de chiffrement des données. Le fichier des clés se trouve sous opt/openv/kms/db/KMS_DATA.dat. Clé HMK (Host Master Key) Contient la clé de chiffrement qui chiffre et protège le fichier de clés KMS_DATA.dat en utilisant AES 256. La clé machine d'hôte se trouve sous /opt/openv/kms/key/KMS_HMKF.dat. Clé KPK (Key Protection Key) La clé de chiffrement qui chiffre et protège des enregistrements individuels dans le fichier de clés KMS_DATA.dat en utilisant l'AES 256. La clé de protection de clé se trouve sous /opt/openv/kms/key/KMS_KPKF.dat. Actuellement, la même clé de protection de clé est utilisée pour chiffrer tous les enregistrements. Fichiers KMS de sauvegarde Si vous voulez sauvegarder les fichiers KMS, vous devez suivre les pratiques d'excellence. Placez le fichier de base de données KMS sur une bande et les fichiers HMK et KPK sur une autre bande. Toute personne voulant alors accéder aux bandes chiffrées devrait alors parvenir à avoir les deux bandes. Une autre possibilité consiste à sauvegarder les fichiers de données KMS en dehors du processus NetBackup normal. Vous pouvez copier ces fichiers sur un CD, un DVD ou un lecteur USB distinct. Vous pouvez également compter sur les clés de chiffrement générées par phrase de passe pour reconstruire manuellement le KMS. Toutes les clés peuvent être générées par des phrases de passe. Si vous avez enregistré toutes les phrases de passe de clé de chiffrement, vous pouvez recréer manuellement le KMS à partir des informations que vous avez notées. Si vous ne voulez générer que quelques clés de chiffrement, ce processus sera assez rapide.
Enregistrements de clé	Les enregistrements de clé contiennent de nombreux champs, mais les enregistrements principaux sont la clé de chiffrement, l'étiquette de clé de chiffrement et l'état d'enregistrement. Les enregistrements de clé contiennent également quelques métadonnées. Ces enregistrements de clé sont définis comme suit : Clé de chiffrement Cette clé est donnée au lecteur de bande. Etiquette de clé de chiffrement Cette étiquette est l'identifiant pour la clé de chiffrement. Etat d'enregistrement Chacun des enregistrements de clé possède un état. Les états sont prelive, actif, inactif, obsolète et terminé. Métadonnées Les métadonnées incluent le nom logique, la date de création, la date de modification et la description.
Groupes de clés	Les groupes de clés sont un nom logique et un regroupement d'enregistrements de clé. Tous les enregistrements de clé créés doivent appartenir à un groupe. Un groupe de clés ne peut avoir qu'un seul enregistrement de clé d'état actif à tout moment. NetBackup prend en charge 100 groupes de clés. Seulement 10 clés de chiffrement sont autorisées par groupe de clés.
Lecteurs de bande et fonctions des supports	Le lecteur, la bande et les fonctions de NetBackup doivent correspondre afin de garantir la réussite du chiffrement du lecteur. Plusieurs lecteurs correspondent au standard T10. Les lecteurs de bande les plus connus que nous prenons en charge (qui adhèrent à la norme T10) sont LT0-4, LT0-5, LT0-6, IBM TS1120/30/40, Oracle T10000B/C, etc. Vous pouvez continuer à exécuter les anciennes versions LT0 pour la lecture et l'enregistrement, mais vous ne pouvez pas chiffrer les données. Si vous utilisez des médias LT02, ces données peuvent être lues dans des lecteurs LT04, mais elles ne peuvent pas être enregistrées ni dans un format chiffré ni dans un format non chiffré. Vous devez noter ces problèmes de lecteur et de média au cours du chiffrement de l'installation. Les lecteurs doivent être capables de chiffrement et les supports doivent être groupés et capables de chiffrement. Pour tout déchiffrement ultérieur, la bande doit être placée dans un lecteur qui est capable de déchiffrement. Consultez Tableau : Prise en charge de médias pour le chiffrement pour de brèves informations sur l'interopérabilité entre les médias et les lecteurs de bande. Veritas recommande de consulter les guides de l'utilisateur spécifiques au fournisseur pour des informations détaillées. Consultez l'articleHOWTO56305 pour plus de détails.
KMS avec NBAC	Les informations sur l'utilisation du KMS avec NBAC sont reprises dans diverses sections de ce document, là où elles sont requises. Pour de plus amples informations, consultez la documentation NBAC de NetBackup.
KMS avec mise en cluster HA	Les informations sur l'utilisation du KMS avec la mise en cluster HA sont reprises dans diverses sections de ce document, là où elles sont requises. Pour de plus amples informations, consultez la documentation HA de NetBackup.
Consignation KMS	Le service utilise la nouvelle consignation unifiée et s'est vu affecter l'ID d'objet 286. La commande nbkmsutil utilise la consignation traditionnelle et ses journaux se trouvent dans le fichier/usr/openv/netbackup/logs/admin/*.log.
KMS avec le stockage en cloud	Les informations sur l'utilisation du KMS avec les fournisseurs de stockage en cloud sont reprises dans diverses sections de ce document, là où elles sont requises. Pour plus d'informations, consultez leGuide de l'administrateur de cloud NetBackup.
KMS avec AdvancedDisk	Les informations sur l'utilisation du KMS avec le stockage AdvancedDisk sont reprises dans diverses sections de ce document, là où elles sont requises. Pour plus d'informations, consultez leGuide des solutions de stockage NetBackup AdvancedDisk.
Autorisations NBAC et KMS	Normalement, lorsqu'on utilise NBAC et que la commande Setupmaster est exécutée, les autorisations des groupes associés à NetBackup (par exemple, NBU_Admin et KMS_Admin) sont créées. La racine et les administrateurs par défaut sont également ajoutés à ces groupes. Dans certains cas, les administrateurs et les utilisateurs racine ne sont pas ajoutés au groupe KMS quand NetBackup est mis à niveau. La solution consiste à accorder manuellement des autorisations NBU_Admin et KMS_Admin aux administrateurs et utilisateurs racine.

Tableau : Prise en charge de médias pour le chiffrement

Média	Lecteurs de bande LTO4	Lecteurs de bande LTO5	Lecteurs de bande LTO6
Médias LTO-2	En lecture seule, aucune prise en charge de chiffrement	Non pris en charge	Non pris en charge
Médias LTO-3	Lecture et enregistrement, aucune prise en charge de chiffrement	En lecture seule, aucune prise en charge de chiffrement	Non pris en charge
Médias LTO-4	Lecture et enregistrement, chiffrement activé	Lecture et enregistrement, chiffrement activé	Chiffrement en lecture seule activé
Médias LTO-5	Non pris en charge	Lecture et enregistrement, chiffrement activé	Lecture et enregistrement, chiffrement activé
Médias LTO-6	Non pris en charge	Non pris en charge	Lecture et enregistrement, chiffrement activé