Veritas NetBackup™ 安全和加密指南

安装 KMS

1. 运行 nbkms -createemptydb 命令。
2. 输入主机主密钥 (HMK) 的通行短语。 您也可以按 Enter 以创建随机生成的密钥。
3. 输入 HMK 的 ID。此 ID 可以是要用于标识 HMK 的任何描述性内容。
4. 输入密钥保护密钥 (KPK) 的通行短语。
5. 输入 KPK 的 ID。此 ID 可以是要用于标识 KPK 的任何描述性内容。

   输入 ID 并按 Enter 后，KMS 服务会启动。

6. 运行下面的命令启动该服务：

   nbkms

7. 使用 grep 命令确保该服务已启动，如下所示：

   ps -ef | grep nbkms

8. 创建密钥组。密钥组名必须与卷池名完全一致。所有密钥组名都必须具有前缀 ENCR_。

   注意:

   将密钥管理用于云存储时，密钥组名不要求使用 ENCR_ 前缀。

   要创建（非云存储）密钥组，请使用以下命令语法。

   nbkmsutil -createkg -kgname ENCR_volumepoolname

   ENCR_ 前缀是必需的。当 BPTM 收到包括 ENCR_ 前缀的卷池请求时，它会将卷池名称提供给 KMS。KMS 确定它与卷池名称完全相同后，从密钥组中选取备份的活动密钥记录。

   要创建云存储密钥组，请使用以下命令语法。

   nbkmsutil -createkg -kgname cloud_provider_URL:volume_name

9. 使用 -createkey 选项创建密钥记录。

   nbkmsutil -createkey -kgname ENCR_volumepool -keyname keyname -activate -desc "message"

   密钥名称和消息是可选的；它们可帮助您在显示密钥时识别该密钥。

   -activate 选项跳过活动前状态，并将该密钥创建为活动状态。

10. 当脚本提示您时，请再次提供通行短语。

    在下面的示例中，密钥组称为 ENCR_pool1，密钥名称为 Q1_2008_key。说明解释了此密钥代表一月、二月和三月。

    nbkmsutil -createkey -kgname ENCR_pool1 -keyname Q1_2008_key -activate -desc "key for 
    Jan, Feb, & Mar"

11. 您可以使用同一命令创建另一密钥记录；不同的密钥名称和说明可帮助您区分密钥记录。

    nbkmsutil -createkey -kgname ENCR_pool1 -keyname Q2_2008_key -activate -desc "key for 
    Apr, May, & Jun"

    注意:

    如果您使用命令 nbkmsutil -kgname name -activate 创建多条密钥记录，则只有最后一个密钥会保持活动状态。

12. 要列出所有属于某个密钥组名的密钥，请使用以下命令：

    nbkmsutil -listkeys -kgname keyname

    注意:

    Veritas 建议您保留 nbkmsutil -listkeys 命令的输出记录。如果需要恢复密钥，则需要输出中列出的密钥标记。

    以下命令和输出使用此过程中的示例。