Backup Exec 23 管理者ガイド

Backup Exec での暗号化の使用

Backup Exec では、データを暗号化できます。データの暗号化は、不正アクセスからの保護に役立ちます。データへのアクセスには、管理者が作成した暗号化キーが必要です。Backup Exec ではソフトウェア暗号化が提供されますが、T10 標準のハードウェア暗号化機能を提供する一部のデバイスもサポートされます。バックアップジョブに使うストレージデバイスを指定すると、Backup Exec は暗号化を設定します。

Backup Exec では、128 ビット AES (高度暗号化標準) と 256 ビット AES という 2 つセキュリティレベルの暗号化方式がサポートされています。256 ビット AES 暗号化レベルで、Backup Exec には、入力したパスフレーズに対して 2 つのキー派生方法があります。1 つは、SHA-2 アルゴリズムを使用する既存の AES 256 ビット (旧称 256 ビット AES) です。もう 1 つは、拡張パスワードベースのキー派生機能アルゴリズムである PBKDF2 を使用します。

256 ビット AES 暗号化では、128 ビット AES よりも 256 ビット AES の方がキーが長いため、より強固なセキュリティレベルが得られます。ただし、128 ビット AES を使用した暗号化のほうがバックアップジョブを速く処理できます。T10 標準を使用したハードウェア暗号化には、256 ビット AES が必要です。パスフレーズに加えて PBKDF2 を使用すると、Backup Exec はランダムに生成された Salt を使用するため、暗号化キーのセキュリティが強化されます。

バックアップ複製ジョブを実行すると、選択した暗号化オプションにかかわらず、すでに暗号化されているバックアップセットは暗号化されたままになります。ただし、暗号化されていないバックアップセットは暗号化できます。

Backup Exec ソフトウェア暗号化のベストプラクティスについて詳しくは、『Backup Exec に関するベストプラクティス』を参照してください。

このトピックには次の情報が含まれます。

ソフトウェア暗号化

ハードウェア暗号化

暗号化キー

所有者専用キーと共通キー

パスフレーズ

Backup Exec のインストール時に、インストールプログラムによって、暗号化ソフトウェアが Backup Exec Server と Backup Exec Agent を使用するすべてのリモートコンピュータにインストールされます。Backup Exec では、Backup Exec Agent を使用するコンピュータでデータを暗号化して、暗号化されたデータを Backup Exec Server に転送できます。その後、Backup Exec は設定に基づいてテープまたはディスクストレージに暗号化データを書き込みます。

Backup Exec のメタデータやディスク上のカタログファイルおよびディレクトリ情報は暗号化されません。

バックアップジョブに対して、暗号化とソフトウェア圧縮を併用できます。Backup Exec では、ファイルを圧縮してから暗号化されます。ただし、暗号化圧縮とソフトウェア圧縮の両方を行う場合は、バックアップジョブにかかる時間が長くなります。

ハードウェア圧縮をソフトウェア暗号化とともに使用することはお勧めしません。ハードウェア圧縮は、暗号化の後に実行されます。暗号化処理中にデータはランダムな状態になります。ランダムな状態のデータで圧縮は効果的に動作しません。

Backup Exec では、T10 暗号化標準を使用するストレージデバイスのハードウェア暗号化がサポートされます。ハードウェア暗号化を使うと、データをホストコンピュータからストレージデバイスに伝送してそのデバイスで暗号化します。暗号化されたデータへのアクセスに使用する暗号化キーは、Backup Exec によって管理されます。

Backup Exec では、T10 暗号化に対して認定されたデバイスのみがサポートされます。

Backup Exec で暗号化を使うには、暗号化キーを作成する必要があります。ユーザーが暗号化キーを作成すると、ログオンしているユーザーのセキュリティ ID に基づいて、そのキーが識別子によってマークされます。キーを作成したユーザーが、キーの所有者になります。

合成バックアップに暗号化を使用する場合は、関連付けられたすべてのバックアップで同じ暗号化キーを使用する必要があります。ベースラインが作成された後は、暗号化キーを変更しないでください。ベースラインバックアップに選択した暗号化キーは、関連付けられたすべてのバックアップに自動的に適用されます。

リストア対象として暗号化されたデータを選択すると、そのデータの暗号化キーがデータベースに存在するかどうかが確認されます。キーが存在しない場合、消失したキーを再作成するようにメッセージが表示されます。ジョブの実行をスケジュール設定した後にキーを削除した場合、ジョブは失敗します。

Backup Exec では、カタログジョブの実行中に暗号化キーが見つからない場合、アラートが送信されます。パスフレーズが分かる場合は、消失した暗号化キーを再作成できます。Backup Exec アラートに Salt 情報が含まれている場合は、消失した暗号化キーを再作成するために同じ Salt を提供する必要があります。

Simplified Disaster Recovery は、以前に暗号化したバックアップセットを使ったコンピュータのリカバリをサポートします。バックアップ時に暗号化した Simplified Disaster Recovery バックアップがある場合は、このコンピュータをリカバリするウィザードでリカバリの完了に必要な暗号化バックアップセットそれぞれのパスフレーズを入力するように求められます。

暗号化キーの管理を参照してください。

Backup Exec には、次の種類の暗号化キーが用意されています。

暗号化キーにはパスフレーズが必要です。パスフレーズはパスワードと似ています。通常、パスフレーズはパスワードよりも長く、いくつかの文字列またはテキストの集まりで構成されます。パスフレーズは、8 文字から 128 文字までの間で指定することをお勧めします。128 ビット AES 暗号化の最小文字数は 8 文字です。256 ビット AES 暗号化 (SHA-2) および 256 ビット AES 暗号化 (PBKDF2) の最小文字数は 16 文字です。最小文字数よりも多い文字数を使用することをお勧めします。

また、パスフレーズには、大文字や小文字の半角の文字、数字、特殊文字のすべての組み合わせを含めることをお勧めします。パスフレーズに引用符を使用しないでください。

256 ビット AES PBKDF2 の場合、パスフレーズには、少なくとも 1 つの大文字、1 つの小文字、1 つの数字、1 つの特殊文字を含める必要があります。

パスフレーズには、印刷可能な ASCII 文字 (文字コード 32 から 126) のみを含められます。ASCII 文字コード 32 は、キーボードのスペースバーを使用して入力する空白文字です。ASCII 文字コード 33 から 126 を次に示します。

!"#$%&'()*+,-./0123456789:;<=>?@ABCDEFGHIJKLMNOPQRSTUVWXYZ

[\]^_'abcdefghijklmnopqrstuvwxyz{|}~

暗号化キーの管理を参照してください。