Guide de sécurité et de chiffrement NetBackup™

Pour installer KMS

1. Exécutez la commande nbkms -createemptydb.
2. Entrez une phrase secrète pour la clé HMK. Vous pouvez également appuyer sur Entrée pour créer une clé générée aléatoirement.
3. Entrez un ID pour le HMK. Cet ID peut être un élément descriptif que vous voulez utiliser pour identifier le HMK.
4. Entrez une phrase secrète pour la clé de protection de clé (KPK).
5. Entrez un ID pour le KPK. Cet ID peut être un élément descriptif que vous voulez utiliser pour identifier le KPK.

   Le service de KMS démarre après avoir entré l'ID et appuyé sur Entrée.

6. Démarrez le service KMS comme suit :

   Sous UNIX, exécutez la commande suivante :

   /usr/openv/netbackup/bin/nbkms

   Sous Windows, procédez comme suit :

   Start > Run > Services.msc > Start the NetBackup Key Management Service

7. Utilisez la commande grep comme suit pour vérifier que le service a démarré : ps -ef | grep nbkms
8. Exécutez la commande suivante pour enregistrer le service nbkms auprès des services Web de NetBackup :

   nbkmscmd -discovernbkms

9. Créez le groupe de clés. Le nom de groupe de clés doit être une correspondance identique au nom de pool de volumes. Tous les noms de groupe de clés doivent avoir un préfixe ENCR_.

   Remarque :

   Lors de l'utilisation de la gestion des clés avec le stockage en cloud et PureDisk, le préfixe ENCR_ n'est pas requis pour le nom du groupe de clés.

   Pour créer un groupe de clés (stockage hors cloud), utilisez la syntaxe de commande suivante. nbkmsutil -createkg -kgname ENCR_volumepoolname

   Le préfixe ENCR_ est essentiel. Quand BPTM reçoit une demande de pool de volumes incluant le préfixe ENCR_, il fournit ce nom de pool de volumes au KMS. Le KMS l'identifie en tant que correspondance exacte du pool de volumes et choisit l'enregistrement actif de clé pour des sauvegardes hors de ce groupe.

   Pour créer un groupe de clés de stockage en cloud utilisez la syntaxe de commande suivante.

   nbkmsutil -createkg -kgname storage_server_name:volume_name

10. Créez un enregistrement de clé à l'aide de l'option -createkey.

    nbkmsutil -createkey -kgname ENCR_volumepool -keyname keyname -activate -desc "message"

    Le nom de clé et le message sont facultatifs ; ils peuvent vous aider à identifier cette clé quand vous affichez la clé.

    L'option -activate ignore l'état prelive et crée cette clé comme active.

11. Fournissez la phrase secrète à nouveau lorsque le script vous y invite.

    Dans l'exemple suivant, le groupe de clés est appelé ENCR_pool1 et le nom de clé est Q1_2008_key. La description explique que cette clé existe pour les mois de janvier, février et mars.

    nbkmsutil -createkey -kgname ENCR_pool1 -keyname Q1_2008_key -activate -desc "key for Jan, Feb, & Mar"

12. Vous pouvez créer un autre enregistrement de clé à l'aide de la même commande. Un nom de clé différent et une description vous permettent de distinguer les enregistrements de clés : nbkmsutil -createkey -kgname ENCR_pool1 -keyname Q2_2008_key -activate -desc "key for Apr, May, & Jun"

    Remarque :

    Si vous créez plus d'un enregistrement de clé à l'aide de la commande nbkmsutil -kgname name -activate, seule la dernière clé demeure active.

13. Pour répertorier toutes les clés qui appartiennent à un nom de groupe de clés, utilisez la commande suivante :

    nbkmsutil -listkeys -kgname keyname

    Remarque :

    Vous avez besoin de la phrase secrète, de la valeur salt (le cas échéant), du nom du groupe de clés et de l'étiquette de la clé pour récupérer cette clé si elle est perdue. Vous devez stocker toutes ces informations à un emplacement sécurisé. La valeur salt, le nom du groupe de clés et l'étiquette de la clé peuvent être affichés dans la sortie de la commande nbkmsutil -listkeys.

    La commande et la sortie suivantes utilisent les exemples dans cette procédure.