<book_title> を検索 ...

NetBackup ™ セキュリティおよび暗号化ガイド

Last Published: 2022-10-21

Product(s): NetBackup (10.1)

レガシー暗号化鍵ファイルの管理

このトピックでは、レガシー暗号化鍵ファイルの管理について説明します。

メモ:

クラスタ内のすべてのノードで同じ鍵ファイルを使用する必要があります。

暗号化バックアップおよびリストアを実行する NetBackup クライアントごとに鍵ファイルが必要です。鍵ファイルには、クライアントがバックアップを暗号化するための DES 鍵の生成に使用するデータが含まれます。

鍵ファイルを管理するには、クライアントで bpkeyfile コマンドを実行します。詳しくは、『NetBackup コマンドリファレンスガイド』でコマンドの説明を参照してください。bpkeyfilehttps://www.veritas.com/content/support/en_US/article.100040135

鍵ファイルが存在しない場合、最初に、鍵ファイルを作成する必要があります。鍵ファイルを作成するには、サーバーからクライアント名に対して bpinst -LEGACY_CRYPT コマンドを実行して、パスフレーズを設定します。

ファイル名は、次に示すように、CRYPT_KEYFILE 構成オプションで指定したファイル名と同じであることが必要です。

Windows クライアントの場合、デフォルトの鍵ファイル名は次のとおりです。
```
install_path\NetBackup\var\keyfile.dat
```
UNIX クライアントの場合、デフォルトの鍵ファイル名は次のとおりです。
```
/usr/openv/var/keyfile
```

NetBackup では、鍵ファイルのパスフレーズを使用して DES 鍵が生成され、DES 鍵を使用して鍵ファイルが暗号化されます。

通常、NetBackup アプリケーションにハードコードされている鍵ファイルのパスフレーズを使います。ただし、セキュリティを高めるため、ユーザー独自の鍵ファイルパスフレーズを使用することも可能です。

UNIX 版クライアントのレガシー鍵ファイルの追加によるセキュリティの向上を参照してください。

メモ:

独自の鍵ファイルパスフレーズを使用しない場合には、新しい鍵ファイルパスフレーズを入力しないでください。代わりに、鍵ファイルの標準パスフレーズを使用して、新しい NetBackup パスフレーズを入力します。

使用する NetBackup パスフレーズを決定する必要があります。NetBackup パスフレーズは、鍵ファイルに格納するデータを生成するために使用します。そのデータは、バックアップを暗号化するための DES 鍵の生成に使用します。

鍵ファイルの標準パスフレーズで暗号化された UNIX クライアントでデフォルトの鍵ファイルを作成するには、次のようなコマンドを入力します。

bpkeyfile /usr/openv/var/keyfile
Enter new keyfile pass phrase: (standard keyfile pass phrase)
Re-enter new keyfile pass phrase: (standard keyfile pass phrase)
Enter new NetBackup pass phrase: ***********************
Re-enter new NetBackup pass phrase: ***********************

新しい NetBackup パスフレーズは頻繁に入力する必要があります。古いパスフレーズに関する情報は鍵ファイルに保存されています。この方法では、古いパスフレーズから生成された DES 鍵で暗号化された任意のデータをリストアすることができます。新しい NetBackup パスフレーズを入力するには、コマンドに -change_netbackup_pass_phrase (または -cnpp) オプションを使用します。bpkeyfile

Windows クライアントで、新しい NetBackup パスフレーズを入力する場合は、次の例のようなコマンドを入力します。

bpkeyfile.exe -cnpp install_path\NetBackup\var\keyfile.dat
Enter old keyfile pass phrase: (standard keyfile pass phrase)
Enter new NetBackup pass phrase: **********
Re-enter new NetBackup pass phrase: **********

注意:

新しいパスフレーズか以前に使用されたパスフレーズかどうかにかかわらず、パスフレーズが安全で取得可能であることを確認する必要があります。クライアントの鍵ファイルが破損または消失した場合、鍵ファイルを再作成するために以前のすべてのパスフレーズが必要になります。鍵ファイルがないと、パスフレーズによって暗号化されたファイルをリストアすることはできません。

クライアントマシンの管理者に対してだけ、鍵ファイルのアクセスを可能にする必要があります。

UNIX クライアントの場合、次のことを確認する必要があります。

所有者が root ユーザーである。
アクセス権モード設定が 600 である。
ファイルは NFS マウントが可能なファイルシステムには存在しない。

ご使用の鍵ファイルをバックアップするかどうかを検討する必要があります。暗号化されたバックアップの場合、鍵ファイルがクライアント上にすでに存在すると、鍵ファイルのリストアだけが実行されるため、このようなバックアップは効果的ではありません。代わりに、クライアントの鍵ファイルに対して、暗号化しないバックアップを行う NetBackup ポリシーを設定することができます。このポリシーは鍵ファイルの緊急リストアが必要な場合に有効です。ただし、この方法では、クライアントの鍵ファイルが異なるクライアント上にリストアされます。

鍵ファイルのバックアップを行わない場合、鍵ファイルのパス名をクライアントのエクスクルードリストに追加します。