Recherche dans <book_title>…

Guide de sécurité et de chiffrement NetBackup™

Last Published: 2024-05-14

Product(s): NetBackup & Alta Data Protection (10.4)

Data center multiple avec NBAC sur les serveurs principaux et les serveurs de médias

Un exemple de data center multiple avec NBAC sur les serveurs principaux et les serveurs de médias est défini comme support pour un grand groupe d'hôtes (plus de 50 hôtes). Ces hôtes peuvent couvrir deux ou plusieurs régions géographiques et être connectés à un réseau étendu (WAN). Dans l'exemple suivant, un data center se trouve à Londres et l'autre se trouve à Tokyo. Les deux data centers sont connectés par une connexion WAN dédiée.

Cet exemple de data center utilise NetBackup Access Control sur les serveurs principaux et les serveurs de médias. Le data center limite l'accès à certaines parties de NetBackup et peut utiliser l'administration non racine de NetBackup. Dans cet environnement, NBAC est configuré pour être utilisé entre les serveurs et les interfaces graphiques utilisateur. Les utilisateurs autres que racine peuvent se connecter à NetBackup en utilisant le système d'exploitation (mot de passe UNIX ou domaine local Windows). Il est également possible d'utiliser des référentiels d'utilisateur globaux (NIS/NIS+ ou Active Directory) pour gérer NetBackup. En outre, NBAC peut être utilisé pour limiter le niveau d'accès à NetBackup de certains utilisateurs. Par exemple, vous pouvez isoler le contrôle opérationnel quotidien de la configuration de l'environnement (ajout de nouvelles politiques, robots, par exemple).

Le data center multiple avec NBAC sur les serveurs principaux et les serveurs de médias inclut les éléments suivants :

NetBackup couvre deux régions géographiques ou plus par le biais d'un réseau étendu (WAN)
Gérer comme utilisateurs autres que racine.
Gérer UNIX avec un ID d'utilisateur Windows.
Gérer Windows avec un compte UNIX.
Isoler et limiter les actions d'utilisateurs spécifiques.
La racine ou l'administrateur ou les hôtes client peuvent encore faire des sauvegardes et des restaurations du client local
Peut être combiné avec d'autres options de sécurité
Tous les serveurs doivent correspondre à la version NetBackup 7.7. ou ultérieure.

Le tableau suivant présente les composants de NetBackup utilisés pour un data center multiple avec NBAC sur les serveurs principaux et les serveurs de médias.

Tableau : Composants de NetBackup utilisés pour un data center multiple avec NBAC sur les serveurs principaux et les serveurs de médias

Composant	Description
Data center de Londres	Le data center de Londres comprend le courtier racine, le courtier d'authentification 1, l'interface utilisateur graphique 1, le moteur d'autorisation, le serveur principal, le serveur de médias 1 et les clients 4 et 5. Le data center de Londres comprend également la bande de données non chiffrées pour les clients 4 et 5. Il se connecte au data center de Tokyo via une connexion WAN dédiée.
Data center de Tokyo	Le data center de Tokyo contient le courtier d'authentification 2, l'interface graphique utilisateur 2, le serveur de médias 2 et les clients 10 et 11. Le data center de Tokyo contient également la bande de données déchiffrée pour les clients 10 et 11. Le data center de Tokyo se connecte au data center de Londres par une connexion WAN dédiée.
Réseau étendu (WAN)	Spécifie le lien WAN dédié qui connecte le data center de Londres au data center de Tokyo. Le WAN assure la connectivité entre le courtier racine, le courtier d'authentification 1 et le courtier d'authentification 2. En outre, le WAN assure la connectivité entre le courtier racine, le courtier d'authentification 1, l'interface utilisateur graphique 2 et le serveur de médias 2. Le WAN connecte également le moteur d'autorisation au serveur de médias 2. Enfin, le WAN connecte le serveur principal à l'interface utilisateur graphique 2, au serveur de médias 2 et aux clients 10 et 11.
Serveur principal	Le serveur principal, situé dans le data center de Londres, communique avec le courtier racine et le courtier d'authentification 1. Il communique également avec l'interface utilisateur graphique 1, le moteur d'autorisation et le serveur de médias 1. Le serveur principal communique avec les clients 4 et 5 de Londres. Le serveur principal communique également avec l'interface utilisateur graphique 2, le serveur de médias 2 et les clients 10 et 11 de Tokyo.
Serveurs de médias	Précise que dans cet exemple de data center multiple, il existe deux serveurs de médias. Le serveur de médias 1 est situé dans le data center de Londres et le serveur de médias 2 est situé dans le data center de Tokyo. À Londres, le serveur de médias 1 communique avec le serveur principal, le courtier racine et le courtier d'authentification 1, le moteur d'autorisation et les clients 4 et 5. Le serveur de médias 1 enregistre des données non chiffrées sur bande pour les clients 4 et 5. À Tokyo, le serveur de médias 2 communique avec le serveur principal et le moteur d'autorisation de Londres via le WAN. Le serveur de médias 2 communique également avec l'interface graphique utilisateur 2 et les clients 10 et 11 à Tokyo. Le serveur de médias n° 2 enregistre des données non chiffrées sur bande pour les clients n° 10 et n° 11.
Interfaces graphiques utilisateur	Précise que dans cet exemple de data center multiple, il existe deux interfaces graphiques utilisateur. L'interface graphique utilisateur 1 se trouve à Londres et l'interface graphique utilisateur 2 se trouve à Tokyo. Les interfaces graphiques utilisateur des consoles d'administration à distance reçoivent les informations d'authentification des courtiers. Les interfaces utilisateur graphiques utilisent ces informations d'authentification pour accéder aux fonctions des serveurs de médias et serveurs principaux. À Londres, l'interface utilisateur graphique 1 reçoit des informations d'authentification du courtier d'authentification 1. L'interface utilisateur graphique 1 a accès aux fonctionnalités du serveur principal et des serveurs de médias 1 et 2. À Tokyo, l'interface utilisateur graphique 2 reçoit des informations d'authentification du courtier d'authentification 2. L'interface utilisateur graphique 2 a accès aux fonctions du serveur principal et des serveurs de médias 1 et 2.
Courtier racine	Précise que dans une installation de data center multiple, un seul courtier racine est requis. Le courtier racine peut parfois être associé au courtier d'authentification. Dans l'exemple suivant, le courtier racine et le courtier d'authentification sont affichés comme même composant et se trouvent dans le data center de Londres. A Londres, le courtier racine authentifie le courtier d'authentification 1 également situé à Londres et le courtier d'authentification 2 à Tokyo. Le courtier racine n'authentifie pas les clients.
Courtiers d'authentification	Spécifie qu'il peut y avoir plus d'un courtier d'authentification dans une installation de data center multiple. Le courtier d'authentification peut parfois être associé au courtier racine. Dans l'installation de ce data center, deux courtiers d'authentification sont utilisés. Le courtier d'authentification authentifie le serveur principal, le serveur de médias et l'interface utilisateur graphique en établissant des informations d'authentification pour chacun d'entre eux. Le courtier d'authentification authentifie également un utilisateur avec une invite de commande. À Londres, le courtier d'authentification 1 authentifie des informations d'authentification avec le serveur principal, le serveur de médias 1 et l'interface utilisateur graphique 1. Tous les serveurs et clients NetBackup de Tokyo et Londres s'authentifient auprès du courtier d'authentification 1 de Londres. L'interface graphique utilisateur 1 authentifie le courtier d'authentification 1 à Londres. L'interface graphique utilisateur 2 authentifie le courtier d'authentification 2 à Tokyo.
Moteur d'autorisation	Précise que dans une installation de data center multiple, un seul moteur d'autorisation est requis. Le moteur d'autorisation communique avec le serveur principal et le serveur de médias pour vérifier les autorisations d'un utilisateur authentifié. Ces autorisations déterminent les fonctionnalités disponibles pour l'utilisateur. Le moteur d'autorisation enregistre également les groupes d'utilisateurs et les autorisations. Le moteur d'autorisation réside à Londres et communique avec le serveur principal et le serveur de médias 1. Il communique également via le WAN pour autoriser l'accès au serveur de médias 2 de Tokyo. Remarque : Le moteur d'autorisation réside sur le serveur principal en tant que processus de daemon. Il est affiché dans le schéma en tant qu'image distincte à titre d'exemple uniquement.
Bandes	Des bandes de données déchiffrées sont produites au data center de Londres et au data center de Tokyo. A Londres, la bande déchiffrée est écrite pour les clients 4 et 5 et stockées sur site dans le data center de Londres. A Tokyo, la bande chiffrée est écrite pour les clients 10 et 11 et est stockée hors site dans le data center de Tokyo.
Clients	Spécifie que les clients se trouvent dans les data centers de Londres et de Tokyo. A Londres, le client 4 est un type de NetBackup standard. Le client 5 est un type de serveur Web situé dans la zone démilitarisée. Tous les types de clients peuvent être gérés par le serveur principal et leurs données peuvent être sauvegardées sur bande via le serveur de médias 1. Le client 5 communique avec NetBackup sur des ports réservés à NetBackup via le pare-feu interne. Le client 5 reçoit également des connexions Internet en utilisant seulement des ports réservés au HTTP via le pare-feu externe. A Tokyo, le client 10 est un type de NetBackup standard. Le client 11 est un type de serveur Web situé dans la zone démilitarisée. Tous les types de clients peuvent être gérés par le serveur principal et leurs données peuvent être sauvegardées sur bande via le serveur de médias 2. Le client 11 communique avec NetBackup sur des ports réservés à NetBackup via le pare-feu interne. Le client 11 reçoit également des connexions Internet en utilisant des ports réservés au HTTP via le pare-feu externe
Pare-feux internes	Précise que dans cet exemple de data center multiple, il existe deux pare-feux internes. Un pare-feu interne se trouve à Londres et l'autre à Tokyo. A Londres, le pare-feu interne permet à NetBackup d'accéder au client 5 de serveur Web se trouvant dans la zone démilitarisée. A Londres, le pare-feu interne permet à NetBackup d'accéder au client 11 de serveur Web se trouvant dans la zone démilitarisée. Vous ne pouvez activer que les ports NetBackup sélectionnés et les ports de certaines applications pour transmettre des données par le biais du pare-feu interne depuis et vers la zone démilitarisée. Des ports HTTP sont ouverts dans le pare-feu externe et ne sont pas autorisés à passer par le pare-feu interne.
Zones démilitarisées (DMZ)	Précise que dans cet exemple de data center multiple, il existe deux zones démilitarisées. Une zone démilitarisée se trouve à Londres et l'autre à Tokyo. A Londres, la zone démilitarisée fournit une zone d'opérations "sécurisée" pour le client 5 de serveur Web entre le pare-feu interne et le pare-feu externe. Le client 5 de serveur Web et le client chiffré 6 côté client de la zone démilitarisée peuvent communiquer avec NetBackup via le pare-feu interne en utilisant les ports NetBackup affectés. Le client 5 de serveur Web peut également communiquer sur Internet par le biais du pare-feu externe en utilisant uniquement des ports HTTP. A Tokyo, la zone démilitarisée fournit une zone d'opérations "sécurisée" pour le client 11 de serveur Web entre le pare-feu interne et le pare-feu externe. Le client 11 de serveur Web de la zone démilitarisée peut échanger des données avec NetBackup via le pare-feu interne à l'aide des ports NetBackup affectés. Le client 11 de serveur Web peut également communiquer sur Internet par le biais du pare-feu externe en utilisant uniquement des ports HTTP.
Pare-feux externes	Précise que dans cet exemple de data center multiple, il existe deux pare-feux externes. Un pare-feu externe se trouve à Londres et l'autre à Tokyo. A Londres, le pare-feu externe permet aux utilisateurs externes d'accéder au client 5 de serveur Web situé dans la zone démilitarisée depuis Internet en passant par des ports HTTP. Les ports NetBackup sont ouverts pour que le client 5 de serveur Web puisse communiquer via le pare-feu interne avec NetBackup. Les ports NetBackup ne peuvent pas passer par le pare-feu externe pour se connecter à Internet. Seuls les ports HTTP du client 5 de serveur Web peuvent passer par le pare-feu externe pour se connecter à Internet. A Tokyo le pare-feu externe permet aux utilisateurs externes d'accéder au client 11 de serveur Web situé dans la zone démilitarisée depuis Internet en passant par des ports HTTPS. Les ports NetBackup sont ouverts pour que le client 11 de serveur Web puisse communiquer via le pare-feu interne avec NetBackup. Les ports NetBackup ne peuvent pas passer par le pare-feu externe pour se connecter à Internet. Seuls les ports HTTP du client 11 de serveur Web peuvent passer par le pare-feu externe pour se connecter à Internet.
Internet	Spécifie qu'il existe un seul Internet mais deux connexions Internet dans cet exemple de data center multiple. Une connexion Internet se trouve à Londres et l'autre à Tokyo. Internet est un ensemble de réseaux d'ordinateurs connectés entre eux par des câbles de cuivre, des câbles de fibre optique ou par des connexions sans fil. A Londres, le client 5 de serveur Web peut envoyer et recevoir des données sur Internet à l'aide des ports HTTP et en passant par le pare-feu externe. A Tokyo, le client 11 de serveur Web peut envoyer et recevoir des données sur Internet à l'aide des ports HTTP et en passant par le pare-feu externe.