NetBackup™ クラウド管理者ガイド

NetBackup は、すべての S3 ストレージ通信用にメディアサーバーが構成されている AWS EC2 インスタンスに接続された AWS IAM ロールを使用します。

NetBackup は、AWS EC2 メタデータに接続することで、ロール名と一時的なクレデンシャルをフェッチします。

NetBackup プライマリサーバーは、AWS EC2 インスタンスまたはオンプレミスに配備できます。プライマリサーバーとメディアサーバー間の通信には、必須のネットワーク設定を行う必要があります。

IAM ロールを使用してデータをクラウドにバックアップする NetBackup メディアサーバーは、AWS EC2 インスタンスに配備する必要があります。

AWS EC2 インスタンスで実行している NetBackup メディアサーバーには、必須の権限を持つ AWS IAM ロールを接続する必要があります。Amazon S3 クラウドプロバイダのユーザーに必要な権限を参照してください。

バックアップデータは、AWS IAM ロールが作成されたのと同じ AWS アカウントの S3 ストレージに格納されます。

NetBackup は、Amazon と Amazon Gov の両方のクラウドプロバイダについて、AWS IAM ロールベースの認証をサポートしています。

csconfig コマンドを使用すると、認証のみの目的で AWS IAM ロールを使用するように既存のクラウドストレージサーバー (エイリアス) を変更できます。

IAM ロールの割り当て、変更、無効化の操作を実行するには、AWS 管理コンソールを使用します。NetBackup は、ロール固有の情報を一切格納しません。

AWS EC2 IMDS (インスタンスメタデータサービス) が NetBackup メディアサーバーにアクセスできることを確認してください。これは、AWS コマンドを使用して確認できます。

IMDSv1 または IMDSv2 を使用して、実行中のインスタンスからインスタンスのメタデータにアクセスできます。

IMDSv2 は、EC2 インスタンスメタデータサービスの機能強化により、オープンファイアウォール、リバースプロキシ、SSRF の脆弱性に対する防御を追加します。IMDSv2 の使用をお勧めします。詳しくは、AWS のマニュアルを参照してください。

IMDSv2 を使用してインスタンスを構成するには、「インスタンスメタデータオプションの設定」を参照してください。

次に例を示します。

ロール名を取得するには、次のコマンドを実行します。

TOKEN=`curl -X PUT "http://169.254.169.254/latest/api/token" -H "X-aws-ec2-metadata-token-ttl-seconds: 21600"` && curl -H "X-aws-ec2-metadata-token: $TOKEN" -v http://169.254.169.254/latest/meta-data/iam/security-credentials/

クレデンシャルを取得するには、次のコマンドを実行します。

TOKEN=`curl -X PUT "http://169.254.169.254/latest/api/token" -H "X-aws-ec2-metadata-token-ttl-seconds: 21600"` && curl -H "X-aws-ec2-metadata-token: $TOKEN" -v http://169.254.169.254/latest/meta-data/iam/security-credentials/role-namerole-name

AWS EC2 インスタンスのメタデータサービスは IPv4 のみでサポートされているため、IPv6 のみの配備では AWS IAM ロールを使用できません。

AWS IAM ロールは MSDP ダイレクトクラウド階層化ストレージサーバーでもサポートされます。