Veritas NetBackup™ セキュリティおよび暗号化ガイド

ロンドンのデータセンター

ルートブローカー、認証ブローカー 1、GUI 1 が含まれます。また、認可エンジン、マスターサーバー、メディアサーバー 1、MSEO 1、クライアント 1 から 6、トランスポート、オフサイト Vault も含まれます。また、クライアント 1、2、3、6、7 の暗号化されたデータテープと、クライアント 4、5 の暗号化されていないデータテープが含まれます。ロンドンのデータセンターは、専用の WAN 接続を介して東京のデータセンターに接続されます。

東京のデータセンター

認証ブローカー 2、GUI 2、メディアサーバー 2、MSEO 2、クライアント 7 から 12、トランスポート、オフサイト Vault が含まれます。また、クライアント 7、8、9、12 の暗号化されたデータテープと、クライアント 10、11 の暗号化されていないデータテープが含まれます。東京のデータセンターは、専用の WAN 接続を介してロンドンのデータセンターに接続されます。

WAN (ワイドエリアネットワーク)

東京のデータセンターにロンドンのデータセンターを接続する専用の WAN リンクです。WAN によって、ルートブローカー/認証ブローカー 1 と認証ブローカー 2 が接続されます。さらに、ルートブローカー/認証ブローカー 1 と GUI 2/メディアサーバー 2 も接続されます。また、WAN によって、認可エンジンはメディアサーバー 2 に接続されます。マスターサーバーは GUI 2、メディアサーバー 2、クライアント 7 から 12 に接続されます。メディアサーバー 1 はクライアント 7 に接続されます。

マスターサーバー

マスターサーバーは、ロンドンのデータセンターにあり、ルートブローカー/認証ブローカー 1、GUI 1、認可エンジン、メディアサーバー 1、クライアント 1 から 6 と通信します。また、東京の GUI 2、メディアサーバー 2、クライアント 7 から 12 とも通信します。

メディアサーバー

この複数のデータセンターの例では、2 つのメディアサーバーを設定できます。メディアサーバー 1 はロンドンのデータセンターにあり、メディアサーバー 2 は東京のデータセンターにあります。ロンドンのメディアサーバー 1 は、マスターサーバー、ルートブローカー/認証ブローカー 1 と通信します。また、認可エンジン、MSEO 1、クライアント 1 から 6、7 とも通信します。メディアサーバー 1 は、クライアント 4、5 用に暗号化されないデータをテープに書き込み、クライアント 1 から 6 用に暗号化されたデータをテープに書き込みます。

東京のメディアサーバー 2 は、WAN を介してロンドンのマスターサーバー、ルートブローカー/認証ブローカー 1 および認可エンジンと通信します。また、東京の MSEO 2、GUI 2、クライアント 7 から 12 とも通信します。メディアサーバー 2 は、クライアント 10、11 の暗号化されていないデータをテープに書き込み、クライアント 7、8、9、12 の暗号化されたデータをテープに書き込みます。

GUI

この複数のデータセンターの例では、2 つの GUI を設定できます。GUI 1 はロンドン、GUI 2 は東京にあります。これらのリモート管理コンソール GUI は、認証ブローカーからクレデンシャルを受信します。GUI は受け取ったクレデンシャルを使用して、メディアサーバーおよびマスターサーバーの機能へのアクセス権を取得します。ロンドンの GUI 1 は、認証ブローカー 1 からクレデンシャルを受信します。GUI 1 には、マスターサーバーおよびメディアサーバー 1、2 の機能へのアクセス権が付与されます。東京の GUI 2 は、認証ブローカー 2 からクレデンシャルを受信します。GUI 2 には、マスターサーバーおよびメディアサーバー 1、2 の機能へのアクセス権が付与されます。

ルートブローカー

複数のデータセンターのインストールには、ルートブローカーが 1 つ必要です。ルートブローカーは、認証ブローカーと組み合わせて使用することもできます。この例では、ルートブローカーと認証ブローカーは同じコンポーネントとして示され、ロンドンのデータセンターに配置されています。ロンドンにあるルートブローカーは、ロンドンの認証ブローカー 1 と、東京の認証ブローカー 2 を認証します。ルートブローカーはクライアントを認証しません。

認証ブローカー

データセンターのインストールでは、複数の認証ブローカーを配置できます。認証ブローカーをルートブローカーと組み合わせて使用することもできます。このデータセンターのインストールでは、2 つの認証ブローカーが使用されています。認証ブローカーは、マスターサーバー、メディアサーバー、GUI およびクライアントに対してそれぞれクレデンシャルを設定し、認証します。認証ブローカーは、コマンドプロンプトを使用するユーザーも認証します。ロンドンの認証ブローカー 1 は、マスターサーバー、メディアサーバー 1、GUI 1、クライアント 1 から 6 のクレデンシャルを認証します。東京とロンドンにあるすべての NetBackup サーバーとクライアントは、ロンドンの認証ブローカー 1 で認証が行われます。GUI 1 はロンドンの認証ブローカー 1 で認証が行われます。GUI 2 は東京の認証ブローカー 2 で認証が行われます。

認可エンジン

複数のデータセンターのインストールには、認可エンジンが 1 つのみ必要です。認可エンジンは、マスターサーバーおよびメディアサーバーと通信して、認証されたユーザーの権限を決定します。これらの権限によって、ユーザーが利用できる機能が決まります。また、認可エンジンには、ユーザーグループおよび権限が格納されます。認可エンジンはロンドンに存在し、マスターサーバー、メディアサーバー 1 と通信します。また、認可エンジンは、WAN を介して通信を行い、東京のメディアサーバー 2 へのアクセス権を認可します。

テープ

暗号化されていないデータテープおよび暗号化されたデータテープが、ロンドンと東京のデータセンターで作成されます。ロンドンでは、クライアント 4、5 用に、暗号化されていないテープが書き込まれ、ロンドンのデータセンターのオンサイトに格納されます。クライアント 1、2、3、6、7 用には、暗号化されたテープが書き込まれます。暗号化されたテープは、ディザスタリカバリに備えてロンドンのオフサイト Vault に発送されます。東京では、クライアント 10、11 用に、暗号化されていないテープが書き込まれ、東京のデータセンターのオンサイトに格納されます。クライアント 7、8、9、12 用には、暗号化されたテープが書き込まれます。暗号化されたテープは、ディザスタリカバリ保護用に東京のオフサイト Vault に発送されます。クライアント 7 は東京に存在し、東京でバックアップされますが、さらにセキュリティとバックアップの冗長性を高めるためにロンドンでもバックアップされます。

トランスポート

トランスポートを 2 つ設定できます。1 つはロンドン、もう 1 つは東京にあります。ロンドンのトランスポートトラックにより、クライアント 1、2、3、6、7 の暗号化されたテープは、セキュリティ保護されたロンドンのオフサイト Vault 施設に運ばれます。東京のトランスポートトラックにより、クライアント 7、8、9、12 の暗号化されたテープは、セキュリティ保護された東京のオフサイト Vault 施設に運ばれます。クライアント 7 のバックアップコピーは、ロンドンと東京の両方の Vault に格納されることに注意してください。

オフサイト Vault

オフサイト Vault を 2 つ配置できます。1 つはロンドン、もう 1 つは東京にあります。どちらの Vault も、暗号化されたテープを格納する安全な施設であり、それぞれのデータセンターとは別の場所に存在します。

クライアント

クライアントは、ロンドンと東京の両方のデータセンターに配置されています。ロンドンの場合、クライアント 1 から 3 は、MSEO による暗号化形式です。クライアント 4 は、標準的な NetBackup 形式です。クライアント 5 は、DMZ に配置されている Web サーバー形式です。クライアント 6 は、クライアント側で暗号化を行う形式のクライアントで、同じく DMZ に配置されています。いずれの形式のクライアントもマスターサーバーによって管理され、クライアントのデータはメディアサーバー 1 によってテープにバックアップされます。クライアント 5 は、NetBackup ポートのみを使用して内部ファイアウォールを通過し、NetBackup と通信します。また、クライアント 5 は HTTP ポートのみを使用して外部ファイアウォールも通過し、インターネットからの接続を受信します。

東京の場合、クライアント 7 から 9 は、MSEO による暗号化形式です。クライアント 10 は、標準的な NetBackup 形式です。クライアント 11 は、DMZ に配置されている Web サーバー形式です。クライアント 12 は、クライアント側で暗号化を行う形式のクライアントで、同じく DMZ に配置されています。すべての形式のクライアントはマスターサーバーによって管理でき、クライアントのデータはメディアサーバー 2 を介してテープにバックアップされます。クライアント 7 は、メディアサーバー 1 と 2 の両方から管理できることに注意してください。クライアント 11 は、NetBackup ポートのみを使用して内部ファイアウォールを通過し、NetBackup と通信します。また、クライアント 11 は HTTP ポートのみを使用して外部ファイアウォールも通過し、インターネットからの接続を受信します。

内部ファイアウォール

この複数のデータセンターの例では、2 つの内部ファイアウォールがあります。1 つはロンドン、もう 1 つは東京にあります。ロンドンの場合、NetBackup は、内部ファイアウォールを通過して DMZ 内の Web サーバークライアント 5 と暗号化クライアント 6 にアクセスできます。東京の場合、NetBackup は、内部ファイアウォールを通過して DMZ 内の Web サーバークライアント 11 と暗号化クライアント 12 にアクセスできます。選択された NetBackup ポートおよび他のアプリケーションポート (可能な場合) のみが、内部ファイアウォールを通過して DMZ とのデータ通信を行うことができます。外部ファイアウォールで開かれている HTTP ポートは、内部ファイアウォールを通過できません。

非武装地帯 (DMZ)

この複数のデータセンターの例では、2 つの DMZ を設定できます。1 つはロンドン、もう 1 つは東京にあります。ロンドンの DMZ は、Web サーバークライアント 5 および暗号化クライアント 6 に対して「安全な」操作領域を提供します。これらのクライアントは、内部ファイアウォールと外部ファイアウォールの間に存在します。DMZ 内の Web サーバークライアント 5 は、指定の NetBackup ポートを使用して内部ファイアウォールを通過し、NetBackup と通信できます。また、Web サーバークライアント 5 は、HTTP ポートのみを使用して外部ファイアウォールも通過し、インターネットに接続することができます。

東京の DMZ は、Web サーバークライアント 11 および暗号化クライアント 12 に対して「安全な」操作領域を提供します。これらのクライアントは、内部ファイアウォールと外部ファイアウォールの間に存在します。DMZ 内の Web サーバークライアント 11 は、指定の NetBackup ポートを使用して内部ファイアウォールを通過し、NetBackup と通信できます。また、Web サーバークライアント 11 は、HTTP ポートのみを使用して外部ファイアウォールも通過し、インターネットに接続することができます。

外部ファイアウォール

この複数のデータセンターの例では、2 つの外部ファイアウォールを設定できます。1 つはロンドン、もう 1 つは東京にあります。ロンドンでは、外部ユーザーは、HTTP ポートを経由して外部ファイアウォールを通過し、インターネットから DMZ 内の Web サーバークライアント 5 にアクセスできます。NetBackup ポートは Web サーバークライアント 5 に対して開かれており、内部ファイアウォールを通過して NetBackup と通信できます。NetBackup ポートは、外部ファイアウォールを通過してインターネットに接続することはできません。Web サーバークライアント 5 の HTTP ポートのみが外部ファイアウォールを通過してインターネットに接続できます。

東京では、外部ユーザーは、HTTP ポートを経由して外部ファイアウォールを通過し、インターネットから DMZ 内の Web サーバークライアント 11 にアクセスできます。NetBackup ポートは Web サーバークライアント 11 に対して開かれており、内部ファイアウォールを通過して NetBackup と通信できます。NetBackup ポートは、外部ファイアウォールを通過してインターネットに接続することはできません。Web サーバークライアント 11 の HTTP ポートのみが外部ファイアウォールを通過してインターネットに接続できます。

インターネット

インターネットは 1 つしかありませんが、この複数のデータセンターの例では 2 つのインターネット接続があります。1 つはロンドン、もう 1 つは東京にあります。インターネットは、相互に接続されたコンピュータネットワークの集まりで、銅線、ファイバー光ケーブル、および無線接続によってリンクされています。ロンドンでは、Web サーバークライアント 5 は、HTTP ポートを使用して外部ファイアウォールを通過し、インターネットでの通信を行うことができます。東京では、Web サーバークライアント 11 は、HTTP ポートを使用して外部ファイアウォールを通過し、インターネットでの通信を行うことができます。