<book_title> を検索 ...

NetBackup ™ セキュリティおよび暗号化ガイド

Last Published: 2022-10-21

Product(s): NetBackup (10.1)

インポート

インポートワークフローでは、バックアップイメージがストレージユニットから読み取られ、NetBackup カタログが作成されます。したがって、クライアントは関与しません。参加ホストは、メディアサーバーと、同じドメインのプライマリサーバーです。

メモ:

イメージに基づいて DTE 制御を保持する場合は、インポート操作を実行する前に、インポート操作に使用するメディアサーバーを NetBackup 10.0 にアップグレードする必要があります。

次の表は、フェーズ 1 のインポート、フェーズ 2 のインポート、SLP (ストレージライフサイクルポリシー) のインポートなど、すべてのインポートワークフローに適用できます。

表: イメージで DTE モードがオフになっている場合

グローバル DTE モード	メディアサーバーが 9.1 以降で DTE モードが次の状態の場合		9.1 より前のメディアサーバー
グローバル DTE モード	オン	オフ	9.1 より前のメディアサーバー
優先オフ	データは暗号化されない	データは暗号化されない	データは暗号化されない
優先オン	データは暗号化される	データは暗号化されない	データは暗号化されない
適用済み	データは暗号化される	操作が失敗する	操作が失敗する

表: イメージ DTE モードがオンで、メディアサーバー DTE 設定がオンの場合

グローバル DTE モード	ホスト	DTE_IGNORE_IMAGE_MODE 構成オプションの値
グローバル DTE モード	ホスト	NEVER (デフォルト)	WHERE_UNSUPPORTED	ALWAYS
優先オフ	NetBackup メディアサーバー 9.1 以降	データは暗号化される	データは暗号化される	データは暗号化されない
優先オフ	9.1 より前の NetBackup メディアサーバー	データは暗号化されない	データは暗号化されない	データは暗号化されない
優先オン	NetBackup メディアサーバー 9.1 以降	データは暗号化される	データは暗号化される	データは暗号化される
優先オン	9.1 より前の NetBackup メディアサーバー	データは暗号化されない	データは暗号化されない	データは暗号化されない
適用済み	NetBackup メディアサーバー 9.1 以降	データは暗号化される	データは暗号化される	データは暗号化される
適用済み	9.1 より前の NetBackup メディアサーバー	操作が失敗する	操作が失敗する	操作が失敗する

メモ:

フェーズ 1 のインポートでは、9.1 以降のメディアサーバーのイメージの DTE モードを無視するようにメディアサーバーで DTE_IGNORE_IMAGE_MODE を設定する必要があります。

フェーズ 1 のインポートシナリオでは、9.1 より前の NetBackup メディアサーバーはイメージの DTE モードを認識しません。フェーズ 1 のインポートで DTE モードがオンに設定された状態でイメージが作成された場合、9.1 より前のバージョンのメディアサーバーではジョブは失敗せず、イメージ DTE モードがカタログでオフに設定されます。

メモ:

DTE_IGNORE_IMAGE_MODE が ALWAYS に設定されている場合、DTE の判断は表: イメージで DTE モードがオフになっている場合に従って行われます。

表: イメージ DTE モードがオンで、10.0 以降のメディアサーバー DTE 設定がオフの場合

グローバル DTE モード	DTE_IGNORE_IMAGE_MODE 構成オプションの値
グローバル DTE モード	NEVER (デフォルト)	WHERE_UNSUPPORTED	ALWAYS
優先オフ	操作が失敗する	操作が失敗する	データは暗号化されない
優先オン	操作が失敗する	操作が失敗する	データは暗号化されない
適用済み	操作が失敗する	操作が失敗する	操作が失敗する

メモ:

DTE_IGNORE_IMAGE_MODE が ALWAYS に設定されている場合、DTE の判断は表 - 表: イメージで DTE モードがオフになっている場合に基づきます。

ターゲットドメインでの MSDP SLP のインポート

この場合、イメージはすでにターゲットディスクプールにレプリケートされているため、SLP インポートポリシーを使用してそのイメージからカタログを作成することが目的になります。この操作はターゲットドメインで行われ、クロスドメイン操作は起こらないので、ターゲットの DTE グローバル設定が関与します。

レプリケートされたイメージで DTE モードがオンの場合、他の DTE 構成に関係なく、インポート操作は DTE モードがオンの状態で実行されます。

レプリケートされたイメージで DTE モードがオフの場合、DTE モードはターゲットドメインのグローバル DTE 設定に基づいて導出され、インポートは導出された DTE モードに基づいて実行されます。

このワークフローについて考慮する必要がある、次の MSDP の制限事項を確認してください。

MSDP ストレージサーバーに複数の負荷分散サーバーが接続されている場合、移動中のデータを正常に暗号化するには、ストレージサーバーと負荷分散メディアサーバーを NetBackup 10.0 以降にする必要があります。これらのサーバーの一部 (ストレージサーバーまたは負荷分散メディアサーバー) が DTE 対応でない (10.0 より前のバージョン) の場合、データが平文で送信され、DTE が受け入れられていなくてもジョブが常に成功する可能性があります。
ストレージサーバーまたは負荷分散メディアサーバーのいずれかが 10.0 より前のバージョンである混在環境の場合、エンドツーエンドの暗号化を実現するには次の構成が必要です。
- DTE は、DTE 構成設定 (グローバル、メディアサーバー、およびクライアント DTE モード) に基づいて NetBackup 側から有効にする必要がある
- pd.conf の ENCRYPTION フラグを使用して MSDP 側から暗号化を有効にする必要がある

MSDP を使用した暗号化の有効化について詳しくは、『NetBackup 重複排除ガイド』を参照してください。

メモ:

NetBackup で DTE をオンにしても、pd.conf の ENCRYPTION フラグが有効になっていない場合、負荷分散メディアサーバーからストレージサーバーへのデータパスは暗号化されません。ただし、ジョブ DTE モードとイメージ DTE モードはオンになることがあります。

DTE が NetBackup 側で有効になっており、暗号化が MSDP 側で有効になっている (pd.conf の ENCRYPTION フラグ) 場合、MSDP 暗号化が NetBackup DTE より優先されます。その結果、格納データの暗号化が行われ、移動中のデータの暗号化は行われません。