<book_title> を検索 ...

NetBackup ™ セキュリティおよび暗号化ガイド

Last Published: 2022-10-21

Product(s): NetBackup (10.1)

NetBackup での外部 CA のサポートについて

信頼できる認証局 (CA) が発行した X.509 証明書を使用できるようになりました。

NetBackup は、NetBackup ホストの外部証明書のソースとしてファイルベースの証明書と Windows 証明書ストアをサポートしています。PEM、DER、P7B 形式の証明書をサポートしています。

メモ:

NetBackup は、NetBackup Web サーバー証明書のソースとして Windows 証明書ストアをサポートしていません。

NetBackup の証明書で使用される用語について

NetBackup で使用されるセキュリティ証明書に固有の用語は、次のとおりです。

NetBackup CA 以外の認証局 (CA) は、外部 CA と呼ばれます。
NetBackup CA 以外の CA が発行した証明書は、外部 CA が署名した証明書、または外部証明書と呼ばれます。
NetBackup CA が発行した証明書は、NetBackup CA が署名した証明書、または NetBackup 証明書と呼ばれます。
制御チャネルを介した安全な通信に使用される NetBackup 証明書は、ホスト ID ベースの証明書とも呼ばれます。

ホスト証明書に関する重要な注意事項

ホスト ID ベースの証明書は、NetBackup のインストール時にマスターサーバーに配備されます。インストールの終了後、マスターサーバーで外部証明書を手動で構成する必要があります。
外部 CA が署名した証明書を使用するマスターサーバーの構成を参照してください。
NetBackup ホスト (メディアサーバーまたはクライアント) の外部証明書は、インストールの実行中または終了後に構成できます。
インストール後に外部 CA が署名した証明書を使用するための NetBackup ホスト (メディアサーバー、クライアント、クラスタノード) の構成を参照してください。
相互に認証された安全な通信を可能にするため、ホスト ID ベースの証明書はすべての NetBackup 8.1 以降のホストに必要です。8.2 以降、NetBackup CA が署名したホスト ID ベースの証明書は、外部 CA が署名した証明書に置き換えることができます。
ホスト ID ベースの証明書に加えて、NetBackup アクセス制御 (NBAC) または拡張監査が有効になっているドメイン内の一部のホストに、ホスト名ベースの証明書を配備する必要がある場合があります。ホスト名ベースの証明書は、NetBackup CA によって発行されます。
NetBackup のセキュリティ証明書の概要を参照してください。

外部証明書の構成の要件

Windows プラットフォームでは、ホストの通信に外部証明書が使用されている場合、NT AUTHORITY\SYSTEM ユーザーが、ECA_CERT_PATH に配置された証明書にアクセスできる必要があります。ECA_CERT_PATH 構成オプションは、Windows レジストリにあります。
Windows プラットフォームでは、外部 CA パラメータ (証明書チェーン、証明書の秘密鍵、トラストストア、証明書の秘密鍵のパスフレーズファイル、CRL キャッシュ) で、汎用名前付け規則 (UNC) パス (またはネットワークパス) がサポートされていません。
次の要件は、NetBackup Web サーバー証明書に該当します。
サブジェクトの別名 (SAN) が空でない場合、証明書では、マスターサーバーが認識されるすべてのホスト名 (ドメイン内の他のホストの SERVER 構成オプションのエントリに記載されているホスト名) を証明書の SAN フィールドに含める必要があります。
証明書のサブジェクト名の要件:
- サブジェクト名を空にすることはできません。
- サブジェクト名の一般名を空にすることはできません。
- サブジェクト名は各ホストで一意である必要があります。
- サブジェクト名は 255 文字未満にする必要があります。
証明書のサブジェクトとサブジェクトの別名 (SAN) では、ASCII 7 文字のみがサポートされています。
キー用途の目的の必要条件は次のとおりです。
証明書に X509v3 キー用途の拡張がある場合は、次のようなキーの用途の目的が含まれている必要があります。
- Web サーバー証明書の場合: デジタル署名またはキーの暗号化のうち少なくとも 1 つが存在する必要があります。
- NetBackup ホスト証明書の場合: デジタル署名の目的が存在する必要があります。キーの暗号化は存在しないこともあります。
- Web サーバーおよび NetBackup ホストの両方で使用する証明書の場合: デジタル署名の用途が存在する必要があります。キーの暗号化は存在しないこともあります。
- 証明書には、ここで指定した目的に加えて他のキー用途の目的も記載されている場合があります。これらの追加の目的は無視されます。
- X509v3 キー用途の拡張は、重要または非重要のいずれかになる場合があります。
- X509v3 キー用途の拡張を備えていない証明書は、NetBackup でも使用できます。
証明書に X509v3 拡張キー用途の拡張がある場合は、次のようなキー用途の目的が含まれている必要があります。
- Web サーバー証明書の場合: TLS Web サーバー認証。
- NetBackup ホスト証明書の場合: TLS Web サーバー認証および TLS Web クライアント認証。
- Web サーバーと NetBackup ホストの両方に使用される証明書の場合: TLS Web サーバー認証および TLS Web クライアント認証。
- 証明書には、ここで指定した目的に加えて他のキー用途の目的も記載されている場合があります。これらの追加の目的は無視されます。
- X509v3 拡張キー用途の拡張は、重要または非重要のいずれかになる場合があります。
- X509v3 拡張キー用途の拡張を備えていない証明書は、NetBackup でも使用できます。
- 証明書がこれらの要件を満たしていない場合は、証明書のプロバイダに連絡して新しい証明書を取得してください。