NetBackup™ 安全和加密指南
- NetBackup 安全通信前必读
- 关于 NetBackup 中的安全通信
- 如何在安装过程中部署 NetBackup CA 签名证书（或基于主机 ID 的证书）
- 如何与主服务器群集节点进行安全通信
- 关于在群集应用程序节点上安装的 NetBackup 客户端
- 如何在升级过程中将 NetBackup 证书部署到主机
- 证书部署过程中何时需要授权令牌
- 为何需要将主机名（或 IP 地址）映射到主机 ID
- 如何重置主机属性或主机通信状态
- 目录库恢复方面发生的更改
- 自动映像同步复制发生的更改
- 具有已吊销证书的主机如何工作
- 是否对 NetBackup 证书进行备份
- 是否可以为主服务器配置外部证书
- 如何使用外部证书与主服务器群集节点进行安全通信
- 外部证书吊销列表的工作原理
- 当主机无法直接连接到主服务器时如何进行通信
- NetBackup 8.1 或更高版本主机如何与 NetBackup 8.0 及更早版本主机通信
- 如何在云配置中与旧式介质服务器通信
- 通信失败情形
- 对 NetBackup 域中其他主机的安全通信支持
- 针对 BMR 的安全通信支持
- 配置用于保护 SQL Server 的 VMware 备份以及使用多个 NIC 的 SQL Server 备份
- NetBackup 安全不断提高
- 安全部署模型
- 审核 NetBackup 操作
- 第 I 部分. 身份信息和访问管理
- 关于身份信息和访问管理
- AD 和 LDAP 域
- 访问密钥
- API 密钥
- Auth.conf 文件
- 基于角色的访问控制
- 操作系统管理员的 NetBackup 界面访问权限
- 智能卡或数字证书
- 单点登录 (SSO)
- NetBackup Access Control (NBAC) 安全
- 关于使用 NetBackup Access Control (NBAC)
- 对 NetBackup 访问管理的管理
- 关于 NetBackup Access Control (NBAC) 配置
- 配置 NetBackup Access Control (NBAC)
- 配置主服务器和介质服务器的“访问控制”主机属性
- 客户端的访问控制主机属性对话框
- 将 NetBackup Access Control (NBAC) 用于自动映像复制
- 故障排除访问管理
- 使用访问管理实用程序
- 关于确定谁可以访问 NetBackup
- 查看 NetBackup 用户组的特定用户权限
- 升级 NetBackup Access Control (NBAC)
- 使用带 NBAC 的更改服务器时的配置要求
- 将安全配置风险降至最低
- 配置多重身份验证
- 配置多人授权
- 配置冻结模式
- NetBackup Web API 的网络访问控制
- 第 II 部分. 传输中数据加密
- NetBackup CA 和 NetBackup 证书
- NetBackup 中的安全证书概述
- 关于 NetBackup 中的安全通信
- 关于安全管理实用程序
- 有关主机管理
- 关于全局安全设置
- 关于基于主机名的证书
- 关于基于主机 ID 的证书
- nbcertcmd 命令选项的 Web 登录要求
- 使用证书管理实用程序发布并部署基于主机 ID 的证书
- 关于 NetBackup 证书部署安全级别
- 自动部署基于主机 ID 的证书
- 管理用于对基于主机 ID 的证书私钥加密的密码和密码密钥
- 部署基于主机 ID 的证书
- 以异步方式部署基于主机 ID 的证书
- 证书有效期时钟偏差的含义
- 建立与主服务器（证书颁发机构）的信任关系
- 强制或重写证书部署
- 在非主服务器主机上重新安装 NetBackup 时，保留基于主机 ID 的证书
- 在未连接主服务器的客户端上部署证书
- 关于基于主机 ID 的证书截止日期和续订
- 从介质服务器和客户端删除敏感证书和密钥
- 从主机中清理基于主机 ID 的证书信息，然后再克隆虚拟机
- 关于重新颁发基于主机 ID 的证书
- 关于基于主机 ID 的证书的令牌管理
- 关于基于主机 ID 的证书吊销列表
- 关于吊销基于主机 ID 的证书
- 删除基于主机 ID 的证书
- 群集设置中基于主机 ID 的证书部署
- 关于位于隔离区中的 NetBackup 客户端通过 HTTP 隧道与主服务器进行通信
- 手动添加 NetBackup 主机
- 迁移 NetBackup CA
- 配置传输中数据加密 (DTE)
- 外部 CA 和外部证书
- 关于 NetBackup 中的外部 CA 支持
- 使用外部证书进行 NetBackup 主机通信的工作流程
- 用于外部 CA 签名证书的配置选项
- NetBackup 服务器和客户端的 ECA_CERT_PATH
- NetBackup 服务器和客户端的 ECA_TRUST_STORE_PATH
- NetBackup 服务器和客户端的 ECA_PRIVATE_KEY_PATH
- NetBackup 服务器和客户端的 ECA_KEY_PASSPHRASEFILE
- NetBackup 服务器和客户端的 ECA_CRL_CHECK
- NetBackup 服务器和客户端的 ECA_CRL_PATH
- NetBackup 服务器和客户端的 ECA_CRL_PATH_SYNC_HOURS
- NetBackup 服务器和客户端的 ECA_CRL_REFRESH_HOURS
- NetBackup 服务器和客户端的 ECA_DISABLE_AUTO_ENROLLMENT
- NetBackup 服务器和客户端的 ECA_DR_BKUP_WIN_CERT_STORE
- NetBackup 主服务器的 MANAGE_WIN_CERT_STORE_PRIVATE_KEY 选项
- NetBackup 服务在本地服务帐户上下文中运行时 Windows 证书存储库支持的限制
- 关于外部 CA 的证书吊销列表
- 关于证书注册
- 关于查看主服务器的注册状态
- 为 NetBackup Web 服务器配置外部证书
- 配置主服务器以使用外部 CA 签名证书
- 在安装后配置 NetBackup 主机（介质服务器、客户端或群集节点），以使用外部 CA 签名证书
- 为远程主机注册外部证书
- 查看 NetBackup 域支持的证书颁发机构
- 在 NetBackup Web UI 中查看外部 CA 签名证书
- 续订基于文件的外部证书
- 为外部 CA 发放证书配置主机通信轮换
- 删除证书注册
- 在 NetBackup 域中禁用 NetBackup CA
- 在 NetBackup 域中启用 NetBackup CA
- 在 NetBackup 域中禁用外部 CA
- 更改已注册外部证书的使用者名称
- 关于群集主服务器的外部证书配置
- 重新生成密钥和证书
- NetBackup CA 和 NetBackup 证书
- 第 III 部分. 静态数据加密
- 静态数据加密安全
- NetBackup 密钥管理服务配置
- NetBackup 中的外部密钥管理服务配置
- NetBackup 中的云密钥管理服务配置
- NetBackup 中的硬件安全模块 (HSM) 支持
- NetBackup 中用于安全通信的密码
- NetBackup 中的 FIPS 遵从性
- NetBackup 中的后量子加密 (PQC) 支持
- NetBackup 中的 STIG 遵从性支持
- NetBackup Web 服务帐户
- 使用非特权用户（服务用户）帐户运行 NetBackup 服务
- 使用非特权用户帐户运行 NetBackup 命令
- NetBackup 中数据的不可变性和不可删除性
- 异常检测
- 计算主机
- 第 IV 部分. 恶意软件扫描
- 威胁库
- YARA 扫描
为外部 CA 发放证书配置主机通信轮换
现可通过 NetBackup Web UI 与 API 配置外部 CA 签名证书的轮换。
此操作可由安全管理员或具有适当 RBAC 权限的用户执行。适用于轮换 BYO、Flex（含 WORM 容器）、NetBackup Appliance、NetBackup Snapshot Manager 主机及群集化主服务器设置的外部 CA 发放证书。
此操作会经审核。
ECA - 外部证书颁发机构
证书构件 - 指安全通信所需的一组证书及相关信息。证书构件包括：
证书链
私钥
信任存储区
密码
CRL 检查级别（默认：LEAF）
NetBackup Cloud Scale 和 NetBackup Flex Scale 不支持外部 CA 发放证书轮换。
如果主机配置为使用 Windows 证书存储库，则会在证书续订后开始使用基于文件的证书。
建议仅在维护模式下执行证书轮换。否则，备份或还原作业可能会失败。
不支持使用这些 API 从 NetBackup CA 迁移到外部 CA。
在配置证书轮换之前，应确保已在主机上注册外部证书。
要使用 Web UI 或特定主机的 API 来轮换外部证书，必须已注册有效的外部证书。
新证书的使用者名称应与主机上配置的相同。但是，当设置 externalCertificateIdentityField 处于启用状态时，使用者名称可以不同但公用名称必须相同。
仅支持 CDP 作为证书的 CRL 检查。
如果 CRL 检查级别不是“禁用”，当无法从主服务器访问 CRL 时，外部证书构件的上传将失败。
如果在主机上无法访问 CRL，则在上传外部证书构件后，主机可能无法连接至主服务器，且证书轮换可能会停滞在中间状态。
如果证书没有有效的 CDP URL，或该 URL 无法通过主机或主服务器访问，则应禁用 CRL 检查级别。
证书链大小应小于 40 KB。否则，在验证期间轮换进程可能会失败。
使用 NetBackup Web UI，可以上传主机的证书构件。当客户端主机每 24 小时使用一次 loginwithcert 功能时，将触发轮换进程。这将在主机上触发以下链式进程：
客户端下载证书构件
在与主服务器的试运行中执行构件验证
将文件移动到最终位置
更新配置
服务器会将这些构件保留 30 天。如果在客户端主机上成功下载并应用了这些构件，则会在 30 天内将其删除。
续订进程完成后，将自动清理证书。如果主机在 30 天内未连接到主服务器，则会从主服务器中清理此类主机的构件。
您可以通过“外部证书”选项卡中新增的“续订状态”列，查看证书轮换进程的当前状态。
请参见查看主机的证书续订状态。
Flex 部署仅支持 PEM X509 格式的证书构件。
二线支持主机和未配置 ECA 的主机不支持上传选项。
如果域处于 FIPS 模式，请确保符合 FIPS 合规要求，例如证书格式和密钥大小需满足相应标准。
证书构件存储在服务器的 CMS 中。下载后，它们会存储在以下位置：
对于群集化主服务器主机（虚拟）：
CA 证书路径 - Install_Path/var/global/vxss/
证书链、私钥、密码路径 - Install_Path/var/global/vxss/credentials/ecaartifacts/
对于其他主机（包括群集化主服务器的节点）：
CA 证书路径 - Install_Path/var/vxss/
证书链、私钥、密码路径 - Install_Path/var/vxss/credentials/ecaartifacts/