Veritas NetBackup™ 安全和加密指南

新增了 NBKMS 服务

nbkms 服务是基于主服务器的服务，可为介质服务器 BPTM 进程提供加密密钥。

新的 nbkmsutil KMS 配置实用程序

为了安全起见，只能从主服务器以 root 用户或管理员身份运行 KMS 配置实用程序。

NetBackup 的大范围更改

KMS 安装和部署决定

KMS 安全

对现有的 NetBackup 服务没有添加任何负担，但安全方面有更多保障。

密码类型

KMS 可恢复性

可以通过根据通行短语生成所有加密密钥的方式使用 KMS。 您可以记录这些通行短语，以便将来使用它们为 NetBackup 重新创建整个 KMS。

KMS 文件

密钥记录

密钥记录包含许多字段，但主要记录是加密密钥、加密密钥标记和记录状态。密钥记录还包含一些元数据。

密钥组

密钥组是密钥记录的逻辑名称和分组。创建的所有密钥记录必须属于一个组。一个密钥组在任何时候都只能具有一个处于活动状态的密钥记录。NetBackup 支持 100 个密钥组。每个密钥组只允许有 10 个加密密钥。

磁带驱动器和介质功能

驱动器、磁带和 NetBackup 功能必须全部匹配，驱动器加密才能成功。许多驱动器符合 T10 标准。 我们所支持的一些已知磁带驱动器（符合 T10 标准）是 LT0-4、LT0-5、LT0-6、IBM TS1120/30/40、Oracle T10000B/C 等。

您仍然可以运行较早的 LTO 版本以便进行读取和写入，但您无法加密数据。 例如，如果使用 LT02 介质，则可以在 LT04 驱动器中读入数据，但无法以未加密格式或加密格式写入这些数据。

在运行设置加密时，必须记录这些驱动器问题和介质问题。您不但需要能加密的驱动器，还需要需进行分组且可以加密的介质。以后解密时，磁带必须放在能够解密的驱动器中。

有关介质和磁带驱动器之间互操作性的简要信息，请参考表：介质支持加密。 有关详细信息，Veritas 建议参考供应商特定的用户指南。

有关更多详细信息，请参考文章 HOWTO56305。

KMS 与 NBAC 一起使用

有关将 KMS 与 NBAC 一起使用的信息包含在本文档各小节的适当位置。有关更多信息，请参见 NetBackup NBAC 文档。

KMS 与 HA 群集一起使用

有关将 KMS 与 HA 群集一起使用的信息包含在本文档各小节的适当位置。有关更多信息，请参见 NetBackup HA 文档。

KMS 日志记录

该服务使用新的统一日志记录，并且已为该服务分配了 OID 286。nbkmsutil 命令使用传统日志记录，可在文件 /usr/openv/netbackup/logs/admin/*.log 中找到其日志。

KMS 与云

在本文档各小节的适当位置，包含了有关将 KMS 与云提供程序一起使用的信息。有关更多信息，请参考 NetBackup 云管理指南。

KMS 与 AdvancedDisk

在本文档各小节的适当位置，包含了有关将 KMS 与 AdvancedDisk 存储一起使用的信息。有关更多信息，请参考 NetBackup AdvancedDisk Storage Solutions Guide（《NetBackup AdvancedDisk 存储解决方案指南》）。

NBAC 和 KMS 权限

通常，在使用 NBAC 和运行 Setupmaster 命令时，会创建与 NetBackup 相关的组权限（例如，NBU_Admin 和 KMS_Admin）。默认的 root 和管理员用户也会添加到这些组中。在某些情况下，当升级 NetBackup 时，root 和管理员用户不会添加到 KMS 组中。解决方法是手动为 root 和管理员用户授予 NBU_Admin 和 KMS_Admin 权限。

LTO-2 介质

只读不支持加密

不支持

不支持

LTO-3 介质

读写不支持加密

只读不支持加密

不支持

LTO-4 介质

读写启用加密

读写启用加密

已启用只读加密

LTO-5 介质

不支持

读写启用加密

读写启用加密

LTO-6 介质

不支持

不支持

读写启用加密