Guide de sécurité et de chiffrement NetBackup™
- Informations préliminaires pour les communications sécurisées dans NetBackup
- Scénarios d'échec de communication
- Augmentation de la sécurité dans NetBackup
- Modèles de déploiement de la sécurité
- Audit des opérations NetBackup
- Événements d'audit
- Section I. Gestion des identités et des accès
- À propos de la gestion des identités et des accès
- Domaines AD et LDAP
- Clés d'accès
- Clés d'API
- Fichier auth.conf
- Contrôle d'accès basé sur les rôles
- Carte à puce ou certificat numérique
- Authentification unique (SSO)
- Audit amélioré
- Configuration d'audit amélioré
- Sécurité de NetBackup Access Control (NBAC)
- Configuration de NBAC (NetBackup Access Control)
- Configuration des propriétés de l'hôte de contrôle d'accès pour le serveur maître et de médias
- Boîte de dialogue Propriétés d'hôte du contrôle d'accès pour le client
- Dépannage de la gestion de l'accès
- Points de vérification de Windows
- Points de vérification UNIX
- Points de vérification dans un environnement mixte avec un serveur maître UNIX
- Points de vérification dans un environnement mixte avec un serveur maître Windows
- Détermination de l'accès à NetBackup
- Affichage des autorisations d'utilisateur particulières des groupes d'utilisateurs NetBackup
- Section II. Chiffrement des données en transit
- Autorité de certification NetBackup et certificats NetBackup
- À propos des utilitaires de gestion de la sécurité
- À propos de la gestion des hôtes
- Ajout de mappages partagés ou de cluster
- Autoriser ou ne pas autoriser le renouvellement de certificat automatique
- À propos des paramètres de sécurité globale
- À propos des certificats basés sur le nom d'hôte
- À propos des certificats basés sur l'ID d'hôte
- À l'aide de l'utilitaire de gestion de certificat pour émettre et déployer des certificats basés sur l'ID d'hôte
- À propos des niveaux de sécurité de déploiement de certificats NetBackup
- Installation de la confiance avec le serveur maître (Autorité de certification)
- Renouvellement des certificats basés sur l'ID d'hôte
- À propos de la gestion des jetons pour les certificats basés sur l'ID d'hôte
- À propos de la liste de révocations des certificats basés sur l'ID d'hôte
- Révocation de certificats basés sur l'ID d'hôte
- Déploiement de certificat basé sur l'ID d'hôte dans une configuration en cluster
- Déploiement d'un certificat basé sur un ID d'hôte sur un hôte NetBackup en cluster
- Migration de l'autorité de certification NetBackup
- Configuration du chiffrement des données en transit (DTE)
- Configuration du mode DTE sur un client
- Modification du mode DTE d'une image de sauvegarde
- Fonctionnement des paramètres de configuration DTE dans différentes opérations NetBackup
- Autorité de certification externe et certificats externes
- A propos de la prise en charge d'une autorité de certification externe dans NetBackup
- Options de configuration pour les certificats signés par une autorité de certification externe
- ECA_CERT_PATH pour les serveurs et clients NetBackup
- À propos des listes de révocation des certifications pour l'autorité de certification externe
- À propos de l'inscription de certificats
- Configuration d'un certificat externe pour le serveur Web NetBackup
- À propos de la configuration de certificat externe pour un serveur maître en cluster
- Régénération de clés et de certificats
- Autorité de certification NetBackup et certificats NetBackup
- Section III. Chiffrement des données au repos
- Sécurité du chiffrement des données au repos
- A propos du chiffrement de client NetBackup
- Configuration du chiffrement standard sur des clients
- Configuration de chiffrement standard à partir du serveur
- Configuration du chiffrement hérité sur les clients
- A propos de la configuration du chiffrement hérité à partir du client
- Configuration du chiffrement hérité du serveur
- Degré de sécurité de fichier de clé hérité supplémentaire pour clients UNIX
- Service Gestion des clés NetBackup
- À propos de KMS conforme à la norme FIPS
- Installation du KMS
- Configuration de KMS
- Groupes de clés et enregistrements de clé
- Présentation des états d'enregistrement de clé
- Configuration de NetBackup pour fonctionner avec le KMS
- Utilisation de KMS pour le chiffrement
- Éléments constitutifs d'une base de données KMS
- Commandes de l'interface de ligne de commande (CLI)
- A propos de l'exportation et de l'importation de clés à partir de la base de données KMS
- Dépannage du KMS
- Service Gestion des clés externe
- Configuration des informations d'authentification du KMS
- Configuration du KMS
- Création de clés dans un KMS externe
- Utilisation de plusieurs serveurs KMS
- Sécurité du chiffrement des données au repos
- Conformité FIPS dans NetBackup
- Configuration du mode FIPS dans votre domaine NetBackup
- Pour désactiver le mode FIPS pour NetBackup
- Compte de services Web NetBackup
- Exécution de services NetBackup avec un compte utilisateur sans privilège (utilisateur du service)
- À propos d'un compte utilisateur du service NetBackup
- Immuabilité et ineffaçabilité des données dans NetBackup
- Détection d'anomalies de sauvegarde
- À propos de la détection des anomalies de sauvegarde
- Détection de malwares
- À propos de l'analyse antimalware
Sélection des périphériques de médias (MDS) et allocation des ressources
Les ressources sont allouées en fonction du mode DTE global, du mode DTE client, du mode DTE du serveur de médias et du mode DTE d'image. Pour les unités de stockage dynamiques, comme MSDP ou les groupes d'unités de stockage, un serveur de médias dont le mode DTE est défini sur On est préféré s'il s'agit d'une condition requise pour le travail.
Si le travail requiert un serveur de médias dont le mode DTE est défini sur On, mais qu'aucun serveur de médias de ce type n'est disponible, NetBackup revient aux allocations de ressources initialement définies.
Dans ce cas, il est possible que le travail se poursuive, puis échoue en cours d'exécution (dans nbjm ou bprd, ou dans d'autres daemons et interfaces de ligne de commande) si NetBackup détecte que le chiffrement des données en transit est requis par le serveur de médias.
Le processus suivant présente les modalités de sélection des périphériques de médias et de validation du chiffrement des données en transit :
- Dans le cas d'une opération de sauvegarde, passez directement à l'étape 2. Pour toutes les autres opérations (restauration, duplication, réplication, importation, vérification, etc.), le mode DTE d'image source est pris en compte :
Si le mode DTE d'une image est défini sur ON, le mode DTE du serveur de médias est défini sur ON, indépendamment de toute autre configuration DTE.
Si le mode DTE d'une image est défini sur Désactivé, vérifiez les modes DTE global, du client et du serveur de médias.
- Si le paramètre DTE global est défini sur ENFORCED, un serveur de médias compatible DTE est préféré.
- Si le paramètre DTE global est défini sur PREFERRED ON ou PREFERRED OFF, un mode DTE client est pris en considération.
Si le mode DTE du client est défini sur ON, un serveur de médias compatible DTE est préféré.
Si le mode DTE du client est défini sur OFF, n'importe quel serveur de médias disponible peut être sélectionné.
Si le mode DTE client est défini sur Automatic, la décision est prise en fonction du paramètre DTE global. Cela signifie que si le paramètre DTE global est défini sur PREFERRED OFF, n'importe quel serveur de médias disponible est sélectionné (sinon, un serveur de médias compatible DTE est sélectionné).
De nombreux paramètres jouent un rôle important dans l'allocation des ressources. Les conditions spéciales suivantes s'appliquent :
Un nom de client vide correspond à une opération secondaire (duplication, réplication, importation, vérification, etc.). Le mode DTE d'image ou le mode DTE global sont appliqués.
Si le nom du client est spécifié, mais ne figure pas dans la base de données de l'hôte parce que le client exécute une version antérieure à la version 8.0, le client ne prend pas en charge le chiffrement des données en transit. Par conséquent, n'importe quel serveur de médias peut être sélectionné.
Une fois les paramètres DTE global et du client vérifiés, la version et le paramètre DTE du serveur de médias sont vérifiés.
Les serveurs de médias exécutant NetBackup 9.1 ou une version ultérieure sont par défaut compatibles DTE.
Paramètre DTE_IGNORE_IMAGE_MODE (pour toute opération secondaire basée sur une image)
Si le mode DTE d'image est défini sur ON, et si l'option DTE_IGNORE_IMAGE_MODE est appliquée, les paramètres global, client et du serveur de médias sont utilisés pour la sélection du serveur de médias.