<book_title> を検索 ...

NetBackup ™ セキュリティおよび暗号化ガイド

Last Published: 2022-10-21

Product(s): NetBackup (10.1)

KMS クレデンシャルの検証

NetBackup で誤ったクレデンシャルが設定されている場合、外部 KMS サーバーとの通信が失敗することがあります。このようなエラーを回避するために、KMS で使用するクレデンシャルを構成できるようにするために、特定の検証を実行できます。検証チェックにパスしない場合、クレデンシャルは設定できません。

次の検証は、新しいクレデンシャルを構成するか、既存のクレデンシャルを更新している間に実行されます。いずれかのチェックが失敗した場合、クレデンシャルを設定することはお勧めしません。

証明書のパスは有効です。
トラストストアのパスは有効です。
秘密鍵のパスは有効です。
証明書チェーン内の証明書は読み取り可能です。
トラストストア内の証明書は読み取り可能です。
秘密鍵は読み取り可能です。
一般名フィールドが空ではありません。
証明書の期限は切れていません。
証明書は現在有効です。
秘密鍵が証明書と一致しています。
証明書は適切な順序で並んでいます。
ECA_CRL_PATH が設定されており、CRL の確認レベルが DISABLE 以外の場合は、次の CRL 検証チェックが実行されます。
- CRL ディレクトリは CRL ファイルで構成されます。
- CRL チェックレベルは有効です。
- CRL パスは有効です。
- 利用可能な CRL は読み取り可能です。

KMS クレデンシャルと KMS の互換性を検証するには

次のコマンドを実行します。
nbkmiputil -kmsServer kms_server_name -port port -certPathcert_path -privateKeyPath private_key_path -trustStorePathtrust_store_path -validate
この nbkmiputil コマンドは KMS サーバーへの接続を含む KMS 機能を検証します。
また、リストキー、フェッチキー、設定属性、フェッチ属性などの操作をテストします。設定属性には、KMS サーバーに対する書き込み権限が必要です。この nbkmiputil コマンドは、TLS ハンドシェークによって交換されるサーバー証明書の CA の指紋も検証します。nbkmiputil は、外部 KMS サーバーと安全に通信するために、TLS 1.2 以降のプロトコルを使用します
(この手順は条件付きです)。KMS ベンダーがサポート対象の KMS ベンダーとして NetBackup ハードウェア互換性リストに記載されていない場合に、ベンダーの NetBackup との互換性を確認するには、次のコマンドを使用します。
このコマンドを実行するには、外部 KMS サーバーの「書き込み」権限が必要です。このコマンドは、外部 KMS サーバーに 8 つの対称キーを作成し、互換性を確認するためにさまざまな KMIP 操作を実行します。互換性チェックの後、作成されたキーを明示的に削除する必要があります。
NetBackup マスターサーバーが KMS ベンダーと互換性があり、KMIP プロトコルを使用して KMS ベンダーと通信できることを確認します。次のコマンドを実行します。
nbkmiputil -kmsServer kms_server_name -port port -certPathcert_path -privateKeyPath private_key_path -truststorepathtrust_store_path -ekmsCheckCompat
-ekmsCheckCompat オプションを実行して、ご利用の環境で KMS を正常に構成できるかどうかを確認することを推奨します。
このオプションを使用すると、指定した KMS サーバーに 8 個のテストキーが作成されます。その後、手動でこれらのキーを削除できます。
チェックが失敗した場合は、ベリタステクニカルサポートにお問い合わせください。