Search <book_title>...

Guide de sécurité et de chiffrement de Veritas NetBackup™

Last Published: 2018-03-28

Product(s): NetBackup (8.1.1)

Data center unique avec application de toutes les fonctions de sécurité

L'exemple d'un data center unique avec toute la sécurité mise en application combine tous les exemples précédents. Il représente un environnement très sophistiqué dans lequel il existe des conditions différentes pour un grand choix de clients. Les conditions client peuvent rendre nécessaire l'utilisation du chiffrement hors hôte (dans le cas, par exemple, d'un hôte surchargé ou d'une sauvegarde de la base de données). Les conditions client peuvent également rendre nécessaire l'utilisation du chiffrement sur l'hôte à cause de la nature sensible des données sur celui-ci. Ajouter NBAC à la combinaison de sécurité permet la ségrégation des administrateurs, des opérateurs et des utilisateurs dans NetBackup.

Le data center unique avec toute la sécurité mise en application inclut ce qui suit :

Veuillez consulter les sections précédentes su le data center unique pour les détails concernant les options
Fournit l'environnement le plus flexible et le plus complexe
Une configuration soigneuse suivant un modèle semblable peut vous permettre de tirer le meilleur parti de chaque option

Figure : Data center unique avec application de toutes les fonctions de sécurité affiche un exemple de data center unique avec toute la sécurité mise en application.

Figure : Data center unique avec application de toutes les fonctions de sécurité

Le tableau suivant décrit les composants de NetBackup qui sont utilisés avec un data center unique avec toute la sécurité mise en application.

Tableau : Composants NetBackup du data center unique avec la sécurité intégrale appliquée

Composant	Description
Serveur maître	Communique avec le serveur de médias, le courtier racine, le courtier d'authentification, le moteur d'autorisation, les clients 1, 2, 3 et le client 5 de serveur Web, dans la zone démilitarisée. Le serveur maître communique avec et reçoit des informations d'authentification du courtier d'authentification. Lorsqu'une interface de ligne de commande ou une interface graphique utilisateur accède à un daemon situé sur un serveur maître, des informations d'authentification sont échangées pour identifier l'utilisateur. Le moteur d'autorisation est contacté pour vérifier les droits d'accès aux fonctions des daemons.
Serveur de médias	Communique avec le serveur maître, clients 1, 2, 3 et client 5, serveur Web, dans la zone démilitarisée. Le serveur de médias communique également avec le moteur d'autorisation et reçoit des informations d'authentification du courtier d'authentification. Le serveur de médias permet l'écriture sur bande de données non chiffrées pour les clients 1, 2, 3 et 5. Lorsqu'une interface de ligne de commande ou une interface graphique utilisateur accède à un daemon situé sur un serveur de médias, des informations d'authentification sont échangées pour identifier l'utilisateur. Le moteur d'autorisation est contacté pour vérifier les droits d'accès aux fonctions des daemons.
Interface graphique utilisateur (GUI)	Cette interface graphique utilisateur de la console d'administration à distance reçoit des informations d'authentification du courtier d'authentification. L'interface graphique utilisateur utilise ces informations d'authentification pour accéder aux fonctions des serveurs de médias et serveurs maîtres.
Courtier racine	Authentifie le courtier d'authentification mais pas les clients. Dans le schéma, le courtier racine et le courtier d'authentification sont affichés comme même composant.
Courtier d'authentification	Authentifie le serveur maître, le serveur de médias, l'interface graphique utilisateur, les clients et les utilisateurs en établissant les informations d'authentification avec chacun.
Moteur d'autorisation	Communique avec le serveur maître et le serveur de médias pour déterminer les autorisations d'un utilisateur authentifié. Il stocke également les groupes d'utilisateurs et les autorisations. Un seul moteur d'autorisation est nécessaire. Remarque : Le moteur d'autorisation se trouve sur le serveur maître en tant que processus de daemon. Il est affiché dans le schéma en tant qu'image distincte à titre d'exemple uniquement.
Bandes	La première bande contient les données de sauvegarde chiffrées de MSEO qui sont enregistrées pour les clients 1, 2, 3 et les données chiffrées client pour le client 6. La deuxième bande contient les données de sauvegarde non chiffrées qui sont écrites pour les clients 4 et 5.
Transport	Les bandes chiffrées sont transportées par camion vers un centre de sauvegarde sécurisé hors site. Si une bande est perdue pendant le transport, le responsable du data center a limité le risque. Le risque d'exposition des données a été atténué par l'utilisation du chiffrement.
Centre de sauvegarde hors site	Le centre de sauvegarde hors site constitue un centre de stockage sécurisé se trouvant dans un autre emplacement afin de protéger les données et de les récupérer après incident.
Clients	Les clients 1, 2, 3 et 4 sont les types de NetBackup standard. Le client 5 est un type de serveur Web. Le client 6 utilise le chiffrement côté client. Lors de la réception du formulaire des informations d'authentification du courtier d'authentification, les clients 1, 2, 3, 5 et 6 sont authentifiés auprès du domaine NetBackup Product Authentication Service. Le serveur standard et les types de serveur Web peuvent tous être gérés par le serveur maître et faire sauvegarder leurs données non chiffrées sur bande par le serveur de médias. Les données chiffrées du client 6 sont sauvegardées sur bande par le serveur de médias. Les clients 1, 2 et 3 existent dans le data center. Les clients 5 et 6 existent dans la zone démilitarisée. Ils communiquent avec NetBackup par le seul biais des ports NetBackup à travers le pare-feu interne. Les client 5 et 6 communiquent vers Internet à l'aide des ports HTTP uniquement par le pare-feu externe.
Pare-feu interne	Spécifie que le pare-feu interne permet à NetBackup d'accéder au client 5 de serveur Web dans la zone démilitarisée. Vous ne pouvez activer que les ports NetBackup sélectionnés et les ports de certaines applications pour transmettre des données depuis et vers la zone démilitarisée. Des ports HTTP sont ouverts dans le pare-feu externe et ne sont pas autorisés à passer par le pare-feu interne.
Zone démilitarisée (DMZ)	Fournit une zone d'opérations "sécurisée" pour le client 5 de serveur Web et le client chiffré 6. Ces clients existent entre le pare-feu interne et le pare-feu externe. Le client 5 de serveur Web et le client chiffré 6 de la zone démilitarisée peuvent communiquer avec NetBackup via le pare-feu interne en utilisant les ports NetBackup affectés. Le client 5 de serveur Web et le client chiffré 6 peuvent échanger des données sur Internet par le biais du pare-feu externe en utilisant des ports HTTP. Le client chiffré 6 dans la zone démilitarisée peut communiquer avec NetBackup par le biais du pare-feu interne à l'aide des ports NetBackup affectés.
Pare-feu externe	Spécifie que le pare-feu externe permet aux utilisateurs externes d'accéder au client 5 de serveur Web situé dans la zone démilitarisée à partir d'Internet sur les ports HTTP. Les ports NetBackup sont ouverts pour le client 5 afin qu'il communique par le pare-feu interne. Les ports NetBackup ne sont pas autorisés à passer par le pare-feu externe pour se connecter à Internet. Seuls les ports HTTP du client 5 peuvent passer par le pare-feu externe pour se connecter à Internet.
Internet	Internet est un ensemble de réseaux d'ordinateurs connectés entre eux par des câbles de cuivre, des câbles de fibre optique ou par des connexions sans fil. Le client 5 peut communiquer par Internet en utilisant des ports HTTP via le pare-feu externe.