<book_title> を検索 ...

NetBackup ™ セキュリティおよび暗号化ガイド

Last Published: 2024-11-11

Product(s): NetBackup & Alta Data Protection (10.5)

NetBackup アクセス制御 (NBAC) の使用について

NetBackup アクセス制御 (NBAC) は、NetBackup 向けの従来のアクセス制御方法であるため、更新されなくなりました。Web UI では、役割に基づくアクセス制御 (RBAC) を使用することをお勧めします。

NetBackup アクセス制御 (NBAC) は、プライマリサーバー、メディアサーバー、クライアントに対して使われる、役割に基づくアクセス制御です。NBAC は、次のことが必要な場合に使うことができます。

1 つのアプリケーションに対して複数レベルの管理者権限を使う場合。バックアップアプリケーションには、オペレータ (テープをロードおよびアンロード) を指定できます。ローカル管理者 (単一の施設内でアプリケーションを管理) も指定できます。さらに、複数のサイトの責任を負う全体的な管理者を指定し、バックアップポリシーを決定することもできます。この機能はユーザーエラーの防止にもきわめて有効です。経験の浅い管理者に対して特定の操作を制限することにより、不慮の操作ミスが防止されます。
システム管理にシステムの root 権限が必須とならないように管理者を分離する場合。システムの管理者とアプリケーションの管理者を分離することができます。

次の表は NBAC の注意事項をリストしたものです。

表: NBAC の注意事項

注意事項または問題	説明または解決
NBAC を構成する前の前提条件	ここでは、NBAC の構成を開始する前に準備しておくと役立つ前提条件を示します。これらの項目によりインストールが簡単になります。このインストールで使う情報は次のリストのとおりです。プライマリサーバーのユーザー名またはパスワード (root 権限または管理者権限)。プライマリサーバーの名前プライマリサーバーに接続されるすべてのメディアサーバーの名前バックアップされるすべてのクライアントの名前ホスト名または IP アドレスメモ: ホスト名は有効な IP アドレスに解決可能であることが必要です。 ping または traceroute コマンド (ホストに接続可能であることを確認するためのツールの 1 つとして使用)。これらのコマンドを使うことで、ファイアウォールやアクセスを遮断するための他の防御手段を構成していないことが確認できます。
プライマリサーバー、メディアサーバー、クライアントのアップグレードが必要かどうかについての判断	プライマリサーバー、メディアサーバー、クライアントのアップグレードが必要かどうかについては、次に基づいて判断します。プライマリサーバー、メディアサーバー、クライアントのアップグレードによって提供される機能がそれぞれあります。 NetBackup は、上位リビジョンのプライマリサーバーおよび下位リビジョンのクライアントとメディアサーバーと連携して動作します。機能の内容により配置される内容が決定されます。配置は必要に応じて段階的に実行できます。
役割に関する情報	構成において役割を次のように決定します。ホストの管理者 (プライマリサーバーの root 権限は主席管理者と同等)。開始時の役割を決定した後、必要に応じて役割を追加します。
NBAC のライセンスの要件	アクセス制御を有効にする際にライセンスは必要ありません。
NBAC と KMS の権限	通常 NBAC を使って Setupmaster コマンドを実行するとき、NetBackup 関連グループの権限 (たとえば、NBU_Admin と KMS_Admin) が作成されます。デフォルトの root と管理者ユーザーもそれらのグループに追加されます。場合によっては NetBackup がアップグレードされるときに、root と管理者レベルのユーザーが KMS グループに追加されないことがあります。解決するには、root と管理者レベルのユーザーに NBU_Admin と KMS_Admin の権限を手動で付与します。
PBX からの共有セキュリティサービスを解除する間に表示される Windows Server Failover Clustering (WSFC) のエラーメッセージ	WSFC 環境で bpnbaz -UnhookSharedSecSvcsWithPBX <virtualhostname>コマンドを実行することにより、エラーメッセージをトリガできます。ただし共有の認証と認可サービスは、PBX から正常に解除され、エラーは無視できます。
表示される可能性のあるクラスタノードエラー	クラスタ環境でbpnbaz -setupmaster コマンドをローカル管理者として実行するとき、AUTHENTICATION_DOMAINエントリには他のクラスタノードエントリが含まれない場合があります。そのような場合、これらのエントリはホストプロパティから `bp.conf` ファイルに手動で追加される必要があります。
カタログリカバリは、NBAC が REQUIRED モードに設定されているとき失敗します	NetBackup は、NBAC が REQUIRED モードに設定されている場合、カタログリカバリをサポートしません。カタログリカバリを実行するには、最初にプライマリサーバーとすべてのメディアサーバーの NBAC 設定が PROHIBITED または AUTOMATIC に構成されていることを確認する必要があります。
ポリシーの検証は NBAC モードでは失敗します (つまり USE_VXSS = REQUIRED の場合)	次のいずれかが実行された場合、NBAC 有効化モードでのスナップショットポリシーのバックアップ、リストア、検証は失敗する場合があります。認証済みの原理は NBAC グループから削除されます。 NBU_Users グループ NBU_User グループのバックアップとリストアの権限は削除されました
bpnbaz -setupmaster コマンドはエラー「認可サービスに接続できません。」で失敗します	管理者以外のユーザーが NetBackup のセキュリティを変更しようとした場合には bpnbaz - setupmaster が失敗します。管理者グループの一員である「管理者」ユーザーのみに NetBackup のセキュリティを修正したり NBAC を有効にする権限があります。
インストール中の認証ブローカー構成の失敗	システムの無効なドメイン名構成により認証ブローカーの構成中に失敗します。この問題を修正するには、bpnbaz -configureauth コマンドを使って認証ブローカーを構成します。 bpnbaz コマンドについて詳しくは、『NetBackup コマンドリファレンスガイド』を参照してください。
以前に拡張監査が有効になっていたシステムで NBAC が有効になっていると、NetBackup の GUI エラーが発生する可能性があります。	NetBackup サーバーを拡張監査から NBAC に切り替えるときは、次のディレクトリでユーザーの名前が付いたすべてのディレクトリが削除されていることを確認してください。 Windows の場合: `install_path\NetBackup\logs\user_ops` UNIX、Linux の場合: `/usr/openv/netbackup/logs/user_ops` 詳しくは、次のトピックを参照してください。 NBAC の問題のトラブルシューティングを参照してください。
NBAC では、［ホスト名を逆引き参照 (Reverse Hostname Lookup)］オプションを［許可 (Allowed)］に設定する必要があります。	NBAC が正しく機能し、NBAC が有効なシステムとの通信を許可するには、プライマリサーバー、メディアサーバーおよびすべてのクライアントで次の操作を実行します。 NetBackup 管理コンソールで、［ホストプロパティ (Host Properties)］、［ネットワーク設定 (Network Settings)］の順に移動します。 NetBackup Web UI で、［ホストプロパティ (Host Properties)］、［クライアントの編集 (Edit client)］、［ネットワーク設定 (Network settings)］の順に移動します。［ホスト名を逆引き参照 (Reverse Hostname Lookup)］オプションが［許可 (Allowed)］に設定されていることを確認します。