Veritas NetBackup™ セキュリティおよび暗号化ガイド

Last Published:
Product(s): NetBackup (8.1)
  1. NetBackup セキュリティの強化
    1.  
      NetBackup セキュリティおよび暗号化について
    2.  
      NetBackup セキュリティの実装レベル
    3.  
      世界レベルのセキュリティ
    4.  
      企業レベルのセキュリティ
    5.  
      データセンターレベルのセキュリティの概要
    6.  
      NetBackup アクセス制御 (NBAC)
    7.  
      世界レベル、企業レベルおよびデータセンターレベルの統合
    8.  
      NetBackup セキュリティの実装形式
    9.  
      オペレーティングシステムのセキュリティ
    10.  
      NetBackup セキュリティの脆弱性
    11.  
      NetBackup の標準セキュリティ
    12.  
      Media Server Encryption Option (MSEO) セキュリティ
    13.  
      クライアント側の暗号化セキュリティ
    14.  
      マスター、メディアサーバーおよび GUI のセキュリティ上の NBAC
    15.  
      すべてに NBAC を使用したセキュリティ
    16.  
      すべての NetBackup セキュリティ
  2. セキュリティの配置モデル
    1.  
      ワークグループ
    2.  
      単一のデータセンター
    3.  
      複数のデータセンター
    4.  
      NetBackup を使用するワークグループ
    5.  
      標準の NetBackup を使用する単一のデータセンター
    6.  
      MSEO (Media Server Encryption Option) を使用する単一のデータセンター
    7.  
      クライアント側の暗号化を使用する単一のデータセンター
    8.  
      マスターサーバーとメディアサーバーで NBAC を使用する単一のデータセンター
    9.  
      すべてに NBAC を使用する単一のデータセンター
    10.  
      すべてのセキュリティが実装された単一のデータセンター
    11.  
      標準的な NetBackup を使用する複数のデータセンター
    12.  
      MSEO (Media Server Encryption Option) を使用する複数のデータセンター
    13.  
      クライアント側の暗号化を使用する複数のデータセンター
    14.  
      マスターサーバーとメディアサーバーで NBAC を使用する複数のデータセンター
    15.  
      すべてに NBAC を使用する複数のデータセンター
    16.  
      すべての NetBackup セキュリティを使用する複数のデータセンター
  3. ポートセキュリティ
    1.  
      NetBackup TCP/IP ポートについて
    2. NetBackup のデーモン、ポート、通信について
      1.  
        NetBackup の標準ポート
      2.  
        NetBackup マスターサーバーの外部接続ポート
      3.  
        NetBackup メディアサーバーの外部接続ポート
      4.  
        NetBackup 企業メディア管理 (EMM)サーバーの送信ポート
      5.  
        クライアントの外部接続ポート
      6.  
        Java サーバーの発信ポート
      7.  
        Java コンソールの発信ポート
      8.  
        MSDP ポートの使用について
      9.  
        Cloud ポートの使用について
      10. NetBackup と相互運用する製品のためのポートの追加情報
        1.  
          OpsCenter の通信ポートとファイアウォールの注意事項について
        2.  
          バックアップ製品との通信に必要なポート
        3.  
          OpsCenter ユーザーインターフェースを起動する Web ブラウザ
        4.  
          OpsCenter ユーザーインターフェースと OpsCenter サーバーソフトウェア間の通信について
        5.  
          OpsCenter サーバーから NetBackup マスターサーバー (NBSL) への通信について
        6.  
          SNMP トラップについて
        7.  
          OpsCenter と Sybase データベース間の通信について
        8.  
          OpsCenter での電子メール通信について
    3. ポートの構成について
      1.  
        ランダムなポートの割り当ての有効化または無効化
      2.  
        構成ファイルのポート情報の編集
      3.  
        クライアント接続オプションの更新
      4.  
        vm.conf ファイルの Media Manager ポート設定の更新
    4.  
      NDMP バックアップのポート要件
    5.  
      サードパーティの製品とともに NetBackup を使う場合の既知のファイアウォールの問題
  4. NetBackup 操作の監査
    1.  
      NetBackup の監査について
    2.  
      現在の監査設定の表示
    3.  
      NetBackup マスターサーバーでの監査の構成
    4.  
      監査レポートのユーザーの ID
    5.  
      拡張監査について
    6.  
      拡張監査の有効化
    7. 拡張監査の設定
      1.  
        拡張監査でのメディアサーバーへの接続
      2.  
        NetBackup ドメイン間でのサーバー変更
      3.  
        サーバーの変更を NBAC または拡張監査と一緒に使った場合の設定要件
    8.  
      拡張監査の無効化
    9.  
      ホストプロパティの変更の監査
    10.  
      監査記録の保持とバックアップ
    11.  
      監査レポートの表示
    12.  
      -reason または -r option コマンドラインの使用
    13.  
      nbaudit ログの動作
    14.  
      監査エラーの監査アラート通知
  5. アクセス制御のセキュリティ
    1.  
      NetBackup のアクセス制御について
    2.  
      ユーザー管理
    3.  
      ユーザー認証
    4.  
      Java インターフェース認証でのアクセス制御と拡張監査の影響
  6. NetBackup アクセス制御セキュリティ (NBAC)
    1.  
      NetBackup アクセス制御 (NBAC) の使用について
    2.  
      NetBackup のアクセス管理
    3.  
      NBAC (NetBackup アクセス制御) 構成について
    4. NetBackup アクセス制御 (NBAC) の構成
      1.  
        NBAC の構成の概要
      2.  
        スタンドアロンのマスターサーバーでの NetBackup アクセス制御 (NBAC) の構成
      3.  
        クラスタでの高可用性の NetBackup マスターサーバーのインストール
      4.  
        クラスタ化されたマスターサーバーでの NetBackup アクセス制御 (NBAC) の構成
      5.  
        メディアサーバーでの NetBackup アクセス制御 (NBAC) の構成
      6.  
        クライアントでのアクセス制御のインストールおよび構成
      7.  
        NetBackup ホットカタログバックアップへの認証データベースおよび認可データベースの追加について
      8.  
        NBAC の構成コマンドの概略
      9.  
        NetBackup 管理インフラストラクチャと setuptrust コマンドの統合
      10.  
        setuptrust コマンドの使用
    5. マスターおよびメディアサーバーの［アクセス制御 (Access Control)］ホストプロパティの構成
      1.  
        ［認証ドメイン (Authentication Domain)］タブ
      2.  
        ［認可サービス (Authorization Service)］タブ
      3.  
        ［ネットワーク属性 (Network Attributes)］タブ
    6. クライアントの［アクセス制御 (Access Control)］ホストプロパティダイアログボックス
      1.  
        クライアントの［認証ドメイン (Authentication Domain)］タブ
      2.  
        クライアントの［ネットワーク属性 (Network Attributes)］タブ
    7. アクセス管理のトラブルシューティング
      1.  
        NBAC の問題のトラブルシューティング
      2.  
        NetBackup Authentication and Authorization の構成とトラブルシューティング
      3. Windows での検証項目
        1.  
          Windows マスターサーバーでの検証項目
        2.  
          Windows メディアサーバーでの検証項目
        3.  
          Windows クライアントでの検証項目
      4. UNIX での検証項目
        1.  
          UNIX マスターサーバーの検証
        2.  
          UNIX メディアサーバーの検証
        3.  
          UNIX クライアントの検証
      5. UNIX マスターサーバーが存在する複合環境での検証項目
        1.  
          複合環境の UNIX マスターサーバーのマスターサーバーでの検証項目
        2.  
          複合環境の UNIX マスターサーバーのメディアサーバーでの検証項目
        3.  
          複合環境の UNIX マスターサーバーのクライアントでの検証項目
      6. Windows マスターサーバーが存在する複合環境での検証項目
        1.  
          複合環境の Windows マスターサーバーのマスターサーバーでの検証項目
        2.  
          複合環境の Windows マスターサーバーのメディアサーバーでの検証項目
        3.  
          複合環境の Windows マスターサーバーのクライアントでの検証項目
      7.  
        nbac_cron ユーティリティについて
      8.  
        nbac_cron ユーティリティの使用
    8.  
      アクセス管理ユーティリティの使用
    9. NetBackup へアクセス可能なユーザーの決定について
      1.  
        個々のユーザー
      2.  
        ユーザーグループ
      3.  
        NetBackup のデフォルトユーザーグループ
      4. ユーザーグループの構成
        1.  
          新しいユーザーグループの作成
        2.  
          既存のユーザーグループのコピーによる新しいユーザーグループの作成
        3.  
          ユーザーグループの名前の変更
        4.  
          ユーザーグループへの新しいユーザーの追加
      5. ユーザーグループおよびユーザーの定義について
        1.  
          新しいユーザーとしてのログオン
        2.  
          ユーザーグループへのユーザーの割り当て
        3.  
          認可オブジェクトおよび権限について
    10. NetBackup ユーザーグループの特定のユーザー権限の表示
      1.  
        権限の付与
      2.  
        認可オブジェクト
      3.  
        メディアの認可オブジェクトの権限
      4.  
        ポリシーの認可オブジェクトの権限
      5.  
        ドライブの認可オブジェクトの権限
      6.  
        レポートの認可オブジェクトの権限
      7.  
        NBU_Catalog の認可オブジェクトの権限
      8.  
        ロボットの認可オブジェクトの権限
      9.  
        ストレージユニットの認可オブジェクトの権限
      10.  
        ディスクプールの認可オブジェクトの権限
      11.  
        バックアップおよびリストアの認可オブジェクトの権限
      12.  
        ジョブの認可オブジェクトの権限
      13.  
        サービスの認可オブジェクトの権限
      14.  
        ホストプロパティの認可オブジェクトの権限
      15.  
        ライセンスの認可オブジェクトの権限
      16.  
        ボリュームグループの認可オブジェクトの権限
      17.  
        ボリュームプールの認可オブジェクトの権限
      18.  
        デバイスホストの認可オブジェクトの権限
      19.  
        セキュリティの認可オブジェクトの権限
      20.  
        ファットサーバーの認可オブジェクトの権限
      21.  
        ファットクライアントの認可オブジェクトの権限
      22.  
        Vault の認可オブジェクトの権限
      23.  
        サーバーグループの認可オブジェクトの権限
      24.  
        キー管理システム (kms) グループの認可オブジェクトの権限
    11.  
      NetBackup アクセス制御 (NBAC) のアップグレード
    12.  
      NetBackup の古いバージョンがリモートコンピュータにインストールされているルートブローカーを使っている場合の NetBackup のアップグレード
  7. NetBackup のセキュリティ管理
    1.  
      NetBackup のセキュリティ証明書の概要
    2.  
      NetBackup での安全な通信について
    3. セキュリティ管理ユーティリティについて
      1.  
        ログイン処理について
    4. 監査イベントについて
      1.  
        監査イベントの表示
      2.  
        ［監査イベント (Audit Events)］タブ
      3.  
        監査イベントの詳細の表示
      4.  
        監査イベントの［詳細 (Details)］ダイアログボックス
      5.  
        監査イベントの状態の表示
      6.  
        ［アクセス履歴 (Access History)］タブの監査に関連する問題のトラブルシューティング
    5. ホスト管理について
      1.  
        ［ホスト (Hosts)］タブ
      2.  
        ホスト ID からホスト名へのマッピングの追加
      3.  
        ［ホストマッピングを追加または削除 (Add or Remove Host Mappings)］ダイアログボックス
      4.  
        ホスト ID からホスト名へのマッピングの削除
      5.  
        ［承認待ちのマッピング (Mappings for Approval)］タブ
      6.  
        自動検出されたマッピングの表示
      7.  
        ［マッピングの詳細 (Mapping Details)］ダイアログボックス
      8.  
        ホスト ID からホスト名へのマッピングの承認
      9.  
        ホスト ID からホスト名へのマッピングの拒否
      10. 共有マッピングとクラスタマッピングの追加
        1.  
          共有マッピングまたはクラスタマッピングのシナリオについて
      11.  
        ［共有マッピングとクラスタマッピングの追加 (Add Shared or Cluster Mappings)］ダイアログボックス
      12.  
        NetBackup ホスト属性のリセット
      13.  
        ホストのコメントの追加または削除
    6. グローバルセキュリティ設定について
      1.  
        安全な通信の設定について
      2.  
        安全でない通信の無効化
      3.  
        8.0 以前のホストとの安全でない通信について
      4.  
        複数の NetBackup ドメインの 8.0 以前のホストとの通信について
      5.  
        ホスト ID をホスト名と IP アドレスに自動的にマッピングする
      6.  
        ディザスタリカバリ設定について
      7.  
        ディザスタリカバリパッケージを暗号化するパスフレーズの設定
      8.  
        ディザスタリカバリパッケージ
    7. ホスト名ベースの証明書について
      1.  
        ホスト名ベースの証明書の配備
    8. ホスト ID ベースの証明書について
      1.  
        nbcertcmd コマンドオプションの Web ログインの要件
      2. 証明書管理ユーティリティを使ったホスト ID ベースの証明書の発行と配備
        1.  
          ホスト ID ベースの証明書の詳細の表示
      3. 証明書の配備のセキュリティレベルについて
        1.  
          証明書の配備のセキュリティレベルの設定
      4.  
        ホスト ID ベースの証明書の自動配備
      5.  
        ホスト ID ベースの証明書の配備
      6.  
        証明書の有効期間に対するクロックスキューの意味
      7. マスターサーバー (CA) との信頼の設定
        1.  
          認証局の指紋の検索と伝達
      8.  
        証明書の配備の強制実行または上書き
      9.  
        マスター以外のホストで NetBackup を再インストールするときのホスト ID ベースの証明書の保持
      10.  
        マスターサーバーと接続されていないクライアントでの証明書の配備
      11.  
        ホスト ID ベースの証明書の有効期限と更新について
      12.  
        メディアサーバーおよびクライアントからの重要な証明書とキーの削除
      13.  
        仮想マシンのクローンを作成する前にホストからホスト ID ベースの証明書情報を消去する
      14. ホスト ID ベースの証明書の再発行について
        1.  
          再発行トークンの作成
        2.  
          ホストのキーペアの変更
    9. ホスト ID ベースの証明書のトークン管理について
      1.  
        認証トークンの作成
      2.  
        認証トークンの削除
      3.  
        認証トークンの詳細の表示
      4.  
        期限切れの認証トークンとクリーンアップについて
    10. ホスト ID ベースの証明書失効リストについて
      1.  
        NetBackup ホストの CRL の更新
    11. ホスト ID ベースの証明書の無効化について
      1.  
        ホストとマスターサーバー間の信頼の削除
      2.  
        ホスト ID ベースの証明書の無効化
      3.  
        NetBackup ホストの証明書の状態の確認
      4.  
        証明書を無効化した NetBackup ホストのリストの取得
    12.  
      ホスト ID ベースの証明書の削除
    13. クラスタ化された NetBackup セットアップでのセキュリティ証明書の配備
      1. クラスタ化された NetBackup ホストでのホスト ID ベースの証明書の配備について
        1.  
          アクティブなマスターサーバーノードでのホスト ID ベースの証明書の配備
        2.  
          非アクティブなマスターサーバーノードでのホスト ID ベースの証明書の配備
      2.  
        クラスタノードでのホスト ID ベースの証明書の配備
      3.  
        クラスタ化された NetBackup セットアップでホスト ID ベースの証明書を無効化する
      4.  
        再発行トークンを使用して、クラスタ化された NetBackup セットアップでホスト ID ベースの証明書を配備する
      5.  
        クラスタ化された NetBackup セットアップの再発行トークンの作成
      6.  
        クラスタ化された NetBackup セットアップでホスト ID ベースの証明書を更新する
      7.  
        クラスタ化された NetBackup セットアップで証明書の詳細を表示する
      8.  
        クラスタ化された NetBackup セットアップからの CA 証明書の削除
      9.  
        ディザスタリカバリインストール後にクラスタマスターサーバーで証明書を生成する
    14.  
      非武装地帯にある NetBackup クライアントとマスターサーバーの間の HTTP トンネルを介した通信について
  8. 格納データの暗号化セキュリティ
    1.  
      格納データの暗号化に関する用語
    2.  
      格納データの暗号化に関する注意事項
    3.  
      暗号化セキュリティについて考慮する際の質問
    4.  
      暗号化オプションの比較
    5. NetBackup クライアントの暗号化について
      1.  
        暗号化セキュリティのインストール前提条件
      2. 暗号化を使用したバックアップの実行について
        1.  
          バックアップの暗号化の選択について
        2.  
          標準暗号化を使用したバックアップ処理
        3.  
          レガシー暗号化を使用したバックアップ処理
      3.  
        NetBackup 標準暗号化を使用したリストア処理
      4.  
        NetBackup レガシー暗号化を使用したリストア処理
    6. クライアントでの標準暗号化の構成
      1.  
        標準暗号化の構成オプションの管理
      2.  
        NetBackup 暗号化鍵ファイルの管理
      3. サーバーからの標準暗号化の構成について
        1.  
          クライアントでの暗号化鍵ファイルの作成について
        2.  
          鍵ファイルの作成
        3.  
          鍵ファイルのリストアの推奨する実施例
        4.  
          鍵ファイルのパスフレーズを保護するための手作業による保存
        5.  
          鍵ファイルの自動バックアップ
      4.  
        暗号化されたバックアップファイルの、異なるクライアントへのリストア
      5.  
        クライアントでの標準暗号化の直接的な構成について
      6.  
        ポリシーでの標準暗号化属性の設定
      7.  
        NetBackup サーバーからのクライアントの暗号化設定の変更
    7. クライアントでのレガシー暗号化の構成
      1. クライアントからのレガシー暗号化の構成について
        1.  
          レガシー暗号化鍵ファイルの管理
      2. サーバーからのレガシー暗号化の構成について
        1.  
          クライアントへのレガシー暗号化構成のプッシュインストールについて
        2.  
          クライアントへのレガシー暗号化パスフレーズのプッシュインストールについて
      3.  
        別のクライアントで作成されたレガシー暗号化が使用されたバックアップのリストア
      4.  
        ポリシーでのレガシー暗号化属性の設定について
      5.  
        サーバーからのクライアントのレガシー暗号化設定の変更
      6. UNIX 版クライアントのレガシー鍵ファイルの追加によるセキュリティの向上
        1.  
          bpcd -keyfile コマンドの実行
        2.  
          UNIX クライアントでの bpcd の終了
    8.  
      メディアサーバーの暗号化
  9. 格納するデータのキーマネージメントサービス
    1.  
      FIPS (連邦情報処理標準)
    2.  
      FIPS 対応 KMS について
    3. キーマネージメントサービス (Key Management Service: KMS) の概要
      1.  
        KMS の注意事項
      2.  
        KMS の操作原理
      3.  
        暗号化テープへの書き込みの概要
      4.  
        暗号化テープの読み取りの概要
      5.  
        KMS の用語
    4. KMS のインストール
      1.  
        KMS の NBAC との使用
      2.  
        HA クラスタに使用する KMS のインストールについて
      3.  
        クラスタでの KMS サービスの有効化
      4.  
        KMS サービスの監視の有効化
      5.  
        KMS サービスの監視の無効化
      6.  
        監視対象リストからの KMS サービスの削除
    5. KMS の構成
      1.  
        キーデータベースの作成
      2. キーグループとキーレコードについて
        1.  
          キーグループの作成について
        2.  
          キーレコードの作成について
      3. キーレコードの状態の概要
        1.  
          キーレコードの状態に関する注意事項
        2.  
          キーレコードの prelive 状態
        3.  
          キーレコードの active 状態
        4.  
          キーレコードの inactive 状態
        5.  
          キーレコードの deprecated 状態
        6.  
          キーレコードの terminated 状態
      4.  
        KMS データベースファイルのバックアップについて
      5.  
        すべてのデータファイルのリストアによる KMS のリカバリについて
      6.  
        KMS データファイルのみのリストアによる KMS のリカバリ
      7.  
        データ暗号化キーの再生成による KMS のリカバリ
      8.  
        KMS データファイルのバックアップに関する問題
      9.  
        KMS データベースファイルのバックアップソリューション
      10.  
        キーレコードの作成
      11.  
        主要グループからのキーのリスト
      12. KMS と連携するための NetBackup の構成
        1.  
          NetBackup および KMS のキーレコード
        2.  
          テープ暗号化を使用するための Netbackup の設定例
    6. 暗号化への KMS の使用について
      1.  
        KMS 暗号化イメージのインポートについて
      2.  
        暗号化テープバックアップの実行例
      3.  
        暗号化バックアップの確認例
    7. KMS データベースの要素
      1.  
        空の KMS データベースの作成
      2.  
        KPK ID および HMK ID の重要性
      3.  
        HMK および KPK の定期的な更新について
      4.  
        KMS キーストアおよび管理者キーのバックアップ
    8. コマンドラインインターフェース (CLI) コマンド
      1.  
        CLI の使用方法のヘルプ
      2.  
        新しいキーグループの作成
      3.  
        新しいキーの作成
      4.  
        キーグループの属性の変更
      5.  
        キーの属性の変更
      6.  
        キーグループの詳細の取得
      7.  
        キーの詳細の取得
      8.  
        キーグループの削除
      9.  
        キーの削除
      10.  
        キーのリカバリ
      11. KMS データベースからのキーのエクスポートと KMS データベースへのキーのインポートについて
        1. キーのエクスポート
          1.  
            エクスポート時における一般的なエラーのトラブルシューティング
        2. キーのインポート
          1.  
            インポート時における一般的なエラーのトラブルシューティング
      12.  
        ホストマスターキー (HMK) の変更
      13.  
        ホストマスターキー (HMK) ID の取得
      14.  
        キーの保護キー (KPK) ID の取得
      15.  
        キーの保護キー (KPK) の変更
      16.  
        キーストアの統計の取得
      17.  
        KMS データベースの静止
      18.  
        KMS データベースの静止解除
      19.  
        キーの作成オプション
    9. KMS のトラブルシューティング
      1.  
        バックアップが暗号化されていない問題の解決方法
      2.  
        リストアが復号化されない問題の解決方法
      3.  
        トラブルシューティングの例 - active キーレコードが存在しない場合のバックアップ
      4.  
        トラブルシューティングの例 - 不適切なキーレコード状態でのリストア
  10. キーと証明書の再生成
    1.  
      キーと証明書の再生成について
    2.  
      NetBackup 認証ブローカーのキーと証明書の再生成
    3.  
      ホスト ID のキーと証明書の再生成
    4.  
      Web サービスのキーと証明書の再生成
    5.  
      nbcertservice のキーと証明書の再生成
    6.  
      tomcat のキーと証明書の再生成
    7.  
      JWT キーの再生成
    8.  
      NetBackup ゲートウェイ証明書の再生成
    9.  
      Web トラストストア証明書の再生成
    10.  
      VMware vCenter プラグイン証明書の再生成
    11.  
      OpsCenter 管理者コンソールのセッション証明書の再生成
    12.  
      OpsCenter のキーと証明書の再生成
    13.  
      NetBackup 暗号化キーファイルの再生成
  11. NetBackup Web サービスアカウント
    1.  
      NetBackup Web サービスアカウントについて
    2.  
      Web サービスユーザーアカウントの変更

KMS のトラブルシューティング

KMS のトラブルシューティングを開始するには、次の手順を使用します。

KMS のトラブルシューティングを開始する方法

  1. 発生したエラーコードおよび説明を特定します。
  2. KMS が実行されているかどうかを判別し、次の KMS データファイルが存在することを確認します。
    kms/db/KMS_DATA.dat
kms/key/KMS_HMKF.dat
kms/key/KMS_KPKF.dat

    このファイルが存在しない場合は、KMS は構成されていないか、または構成が削除されています。ファイルが存在しない場合は、ファイルに何が発生したかを特定します。KMS が構成されていない場合、nbkms サービスは実行されません。 KMS が実行されていないか、または構成されていない場合は、NetBackup 操作には影響を及ぼしません。 これまでボリュームプール名に ENCR_ の接頭辞を使用していた場合は、この名前を変更する必要があります。ENCR_ は現在 NetBackup で特別な意味を持ちます。

  3. KMS 構成情報を取得します。

    コマンド nbkmsutil -listkgs を実行して、キーグループのリストを取得します。 コマンド nbkmsutil -listkeys -kgname key_group_name を実行して、キーグループのすべてのキーのリストを取得します。

  4. VxUL OID 286 および BPTM ログを介して、KMS ログなどの操作ログ情報を取得します。
  5. ログ情報を評価します。KMS エラーは BPTM に戻されます。
  6. KMS ログに記録されている KMS エラーを評価します。