<book_title> を検索 ...

NetBackup ™ セキュリティおよび暗号化ガイド

Last Published: 2022-10-21

Product(s): NetBackup (10.1)

すべてに NBAC を使用する単一のデータセンター

すべてに NBAC を使用する単一のデータセンターの環境は、マスターサーバーとメディアサーバーで NBAC を使用する単一のデータセンターによく似ています。主な相違点は、NetBackup 環境に含まれるすべてのホストがクレデンシャルを使用して確実に識別される点です。また、root 以外の管理者が、構成可能なアクセスレベルに基づいて NetBackup クライアントを管理できる点も異なります。ユーザー識別情報は、Windows の Active Directory または UNIX の NIS などのグローバルリポジトリに存在する場合があります。また、識別情報は、認証ブローカーをサポートするホスト上のローカルのリポジトリ (UNIX のパスワード、Windows のローカルドメイン) に存在する場合もあります。

すべてに NBAC を使用する単一のデータセンターには、次の特徴があります。

マスターサーバーとメディアサーバーで NBAC を使用する単一のデータセンターの場合の特徴と類似している (クライアントの root ユーザーまたは管理者についての項目は除く)
クライアントシステムでは、ローカルバックアップとリストアを行うために root 以外または管理者以外のユーザーが設定される場合がある (デフォルト設定)
この環境では、NetBackup に含まれるすべてのホストの信頼できる識別が容易である
すべてのホストで、適切な NetBackup バージョンが必要

図: すべてに NBAC を使用する単一のデータセンターに、すべてに NBAC を使用する単一のデータセンターの例を示します。

図: すべてに NBAC を使用する単一のデータセンター

次の表に、すべてに NBAC を使用する単一のデータセンターで使われる NetBackup の構成要素を示します。

表: すべてに NBAC を使用する単一のデータセンターにおける NetBackup の構成要素

構成要素	説明
マスターサーバー	メディアサーバー、ルートブローカーおよび認証ブローカーと通信します。また、認可エンジン、クライアント 1、2、3 および DMZ 内のクライアント 5 (Web サーバー) とも通信します。また、認可エンジンと通信して、認証ブローカーからクレデンシャルを受信します。 CLI または GUI がマスターサーバー上のデーモンにアクセスする場合は、ユーザーを識別するためにクレデンシャルが交換されます。デーモン機能へのアクセシビリティを判断するために認可エンジンへのアクセスが行われます。
メディアサーバー	マスターサーバー、クライアント 1、2、3 および DMZ 内のクライアント 5 (Web サーバー) と通信します。また、認可エンジンと通信して、認証ブローカーからクレデンシャルを受信します。メディアサーバーによって、クライアント 1、2、3、5 の暗号化されていないデータのテープへの書き込みが可能になります。 CLI または GUI がメディアサーバー上のデーモンにアクセスする場合は、ユーザーを識別するためにクレデンシャルが交換されます。デーモン機能へのアクセシビリティを判断するために認可エンジンへのアクセスが行われます。
GUI	このリモート管理コンソール GUI は、認証ブローカーからクレデンシャルを受信します。GUI は受け取ったクレデンシャルを使用して、メディアサーバーおよびマスターサーバーの機能へのアクセス権を取得します。
ルートブローカー	認証ブローカーを認証しますが、クライアントを認証しません。図: すべてに NBAC を使用する単一のデータセンターでは、ルートブローカーおよび認証ブローカーは同じコンポーネントとして示されています。
認証ブローカー	マスターサーバー、メディアサーバー、GUI、クライアントおよびユーザーに対してそれぞれクレデンシャルを設定し、認証します。
認可エンジン	マスターサーバーおよびメディアサーバーと通信して、認証済みユーザーの権限を決定します。また、認可エンジンには、ユーザーグループおよび権限が格納されます。必要となる認可エンジンは 1 つだけです。メモ: 認可エンジンは、デーモンプロセスとしてマスターサーバーに存在します。この図では、例に示すために個別のイメージとして示しています。
テープ	クライアント 1、2、3、5 の暗号化されていないバックアップデータが格納されます。
クライアント	クライアント 1、2、3 は標準の NetBackup 形式であり、クライアント 5 は Web サーバー形式です。認証ブローカーからクレデンシャルを受信すると、クライアント 1、2、3、5 は NetBackup Product Authentication Service ドメインに認証されます。標準サーバー形式と Web サーバー形式はどちらもマスターサーバーによって管理され、暗号化されていないデータがメディアサーバーを介してテープにバックアップされます。クライアント 1、2、3 は、データセンター内に存在します。クライアント 5 は、DMZ 内に存在します。クライアント 5 は、NetBackup ポートのみを使用して内部ファイアウォールを通過し、NetBackup と通信します。クライアント 5 は、HTTP ポートのみを使用して外部ファイアウォールを通過し、インターネットからの接続を受信します。
内部ファイアウォール	NetBackup は、DMZ 内の Web サーバークライアント 5 にアクセスできます。選択された NetBackup ポートおよび他のアプリケーションポート (可能な場合) のみが、DMZ とのデータ通信を行うことができます。外部ファイアウォールで開かれている HTTP ポートは、内部ファイアウォールを通過できません。
非武装地帯 (DMZ)	内部ファイアウォールと外部ファイアウォールの間に存在している Web サーバークライアント 5 に「安全な」操作領域を提供します。DMZ 内の Web サーバークライアント 5 は、指定の NetBackup ポートを使用して内部ファイアウォールを通過し、NetBackup と通信できます。Web サーバークライアント 5 は、HTTP ポートを使用して外部ファイアウォールを通過し、インターネットに接続することができます。
外部ファイアウォール	外部ユーザーは HTTP ポートを経由して外部ファイアウォールを通過し、インターネットから DMZ 内の Web サーバークライアント 5 にアクセスできます。NetBackup ポートはクライアント 5 に対して開かれており、内部ファイアウォールを通過して通信が行われます。NetBackup ポートは、外部ファイアウォールを通過してインターネットに接続することはできません。クライアント 5 の HTTP ポートのみが外部ファイアウォールを通過してインターネットに接続できます。
インターネット	相互に接続されたコンピュータネットワークの集まりで、銅線、ファイバー光ケーブル、および無線接続によってリンクされています。クライアント 5 は、HTTP ポートを使用して外部ファイアウォールを通過し、インターネットでの通信を行うことができます。