Sign In

Search <book_title>...

Veritas NetBackup™ セキュリティおよび暗号化ガイド

Last Published: 2017-11-02

Product(s): NetBackup (8.1)

KMS の注意事項

次の表に、KMS の機能および使用に関する注意事項を示します。

表: KMS の機能および使用に関する注意事項

注意事項	説明
新しい NBKMS サービス	nbkms サービスはメディアサーバーの BPTM プロセスに暗号化キーを提供する、マスターサーバーベースのサービスです。
新しい nbkmsutil KMS 構成ユーティリティ	セキュリティ上の理由のため、KMS 構成ユーティリティは、root または管理者としてマスターサーバーからのみ実行可能です。
NetBackup の大幅な変更	次の処理を可能にするために、NetBackup の変更が必要でした。ボリュームプール名で ENCR_ 接頭辞を使用できるようにするため。キーマネージメントサービスと通信するため。暗号化が埋め込まれた T10 / SCSI 規格のテープドライブをサポートするため。 NetBackup イメージ情報への暗号化キータグの追加を通知するように NetBackup GUI および CLI を変更 bpimmedia および bpimagelist が変更されました。この NetBackup リリースのリカバリ能力および使用しやすさを強化すべての暗号化キーをパスフレーズを使って生成することをお勧めします。パスフレーズを入力すると、キーマネージメントシステムによって、そのパスフレーズから再作成可能な暗号化キーが作成されます。
KMS のインストールおよび配置の決定	次に KMS の配置について決定する必要のある事項を示します。 KMS のランダムに生成されたキーまたはパスフレーズで生成されたキーのどちらを選択するか NBAC の配置を含めるかどうか
KMS のセキュリティ	既存の NetBackup サービスに追加されるセキュリティ上の問題はありません。
暗号形式	KMS では、次の暗号形式がサポートされています。 AES_128 AES_192 AES_256 (デフォルトの暗号)
KMS のリカバリ能力	KMS を使って、すべての暗号化キーをパスフレーズから生成できます。これらのパスフレーズを記録して、NetBackup の KMS 全体を再作成するために後で使うことができます。
KMS ファイル	次のような KMS に関連する KMS ファイルがあり、キーに関する情報が維持されます。キーファイルまたはキーデータベースデータ暗号化キーが含まれます。キーファイルは、/opt/openv/kms/db/KMS_DATA.dat にあります。ホストマスターキー AES 256 を使用して KMS_DATA.dat キーファイルを暗号化および保護する暗号化キーが含まれます。ホストマスターキーは、/opt/openv/kms/key/KMS_HMKF.dat にあります。キーの保護キー AES 256 を使用して KMS_DATA.dat キーファイルの個々のレコードを暗号化および保護する暗号化キーです。キーの保護キーは、/opt/openv/kms/key/KMS_KPKF.dat にあります。現在は、すべてのレコードを暗号化するために同じキーの保護キーが使用されます。 KMS ファイルのバックアップ KMS ファイルをバックアップする場合には、推奨される方法に従ってください。KMS データベースファイルを置くテープは、HMK ファイルおよび KPK ファイルを置くテープと別にします。すると、暗号化のテープにアクセスするためには、両方のテープが必要となります。また、KMS のデータファイルのバックアップを、NetBackup の通常の処理とは別に行うという方法もあります。これらのファイルを、別々の CD、DVD、または USB ドライブにコピーできます。パスフレーズで生成された暗号化キーを使って手動で KMS を再構築することもできます。暗号化キーはすべてパスフレーズで生成できます。暗号化キーのパスフレーズのすべてを記録している場合には、書き留めた情報から KMS を手動で再作成することができます。生成した暗号化キーが数個しかない場合は、この処理には時間はかかりません。
キーレコード	キーレコードには多数のフィールドが含まれますが、主要なレコードは、暗号化キー、暗号化キータグおよびレコードの状態です。また、キーレコードにはいくつかのメタデータも含まれます。これらのキーレコードは次のように定義されます。暗号化キーこのキーは、テープドライブに指定されます。暗号化キータグこのタグは、暗号化キーの識別子です。レコードの状態各キーレコードには状態があります。状態は、prelive、active、inactive、deprecated および terminated です。メタデータメタデータには、論理名、作成日、変更日および説明が含まれます。
キーグループ	キーグループはキーレコードの論理名および論理グループです。作成されるすべてのキーレコードはグループに属する必要があります。キーグループには、常に active 状態のキーレコードを 1 つだけ含めることができます。NetBackup は 100 のキーグループをサポートします。キーグループごとに 10 個の暗号化キーのみが許可されます。
テープドライブおよびメディアの機能	ドライブ、テープおよび NetBackup の機能は、ドライブの暗号化が正常に行われるようにすべて適合している必要があります。多数のドライブが T10 規格に準拠しています。対応しているテープドライブ (T10 規格に準拠) のうちよく知られているものには、LT0-4、LT0-5、LT0-6、IBM TS1120/30/40、Oracle T10000B/C などがあります。読み取りおよび書き込みのために旧バージョンの LTO ドライブを実行することはできますが、データを暗号化することはできません。たとえば、LTO2 メディアを使用している場合、LTO4 ドライブでデータを読み取ることはできますが、暗号化されていない形式でも暗号化されている形式でも書き込みはできません。暗号化を設定する際は、これらのドライブおよびメディアの問題を常に把握しておくことが必要です。暗号化が可能なドライブが必要なだけでなく、メディアをグループ化して暗号化を実行できるようにする必要があります。後で復号化するために、テープは復号化が可能なドライブに配置する必要があります。メディアとテープドライブの相互操作性の概要については、表: 暗号化のメディアサポートを参照してください。詳しくは、ベンダー固有のユーザーガイドを参照することをお勧めします。詳しくは、記事「HOWTO56305」を参照してください。
KMS と NBAC	KMS を NBAC とともに使用する場合については、このマニュアルのさまざまな項で、必要に応じて説明されています。詳しくは、NetBackup の NBAC のマニュアルを参照してください。
KMS と HA クラスタ	KMS を HA クラスタとともに使用する場合については、このマニュアルのさまざまな項で、必要に応じて説明されています。詳しくは、NetBackup の HA のマニュアルを参照してください。
KMS ログ	サービスは新しい統合ログ機能を使用し、OID 286 が割り当てられています。nbkmsutil コマンドは従来のログ機能と、ファイル */usr/openv/netbackup/logs/admin/.log** にあるログを使用します。
クラウドと KMS	KMS をクラウドプロバイダとともに使用することについては、このマニュアルのさまざまな項で、必要に応じて説明されています。詳しくは、『NetBackup クラウド管理者ガイド』を参照してください。
AdvancedDisk と KMS	KMS を AdvancedDisk ストレージとともに使用することについては、このマニュアルのさまざまな項で、必要に応じて説明されています。詳しくは、『NetBackup AdvancedDisk ストレージソリューションガイド』を参照してください。
NBAC と KMS の権限	通常 NBAC を使って Setupmaster コマンドを実行するとき、NetBackup 関連グループの権限 (たとえば、NBU_Admin と KMS_Admin) が作成されます。デフォルトの root と管理者ユーザーもそれらのグループに追加されます。場合によっては NetBackup がアップグレードされるときに、root と管理者レベルのユーザーが KMS グループに追加されないことがあります。解決するには、root と管理者レベルのユーザーに NBU_Admin と KMS_Admin の権限を手動で付与します。

表: 暗号化のメディアサポート

メディア (Media)	LTO4 テープドライブ	LTO5 テープドライブ	LTO6 テープドライブ
LTO-2 メディア	読み取り専用暗号化サポート無し	サポートされない	サポートされない
LTO-3 メディア	読み書き暗号化サポートなし	読み取り専用暗号化サポート無し	サポートされない
LTO-4 メディア	読み書き暗号化有効	読み書き暗号化有効	読み取り専用暗号化有効
LTO-5 メディア	サポートされない	読み書き暗号化有効	読み書き暗号化有効
LTO-6 メディア	サポートされない	サポートされない	読み書き暗号化有効