NetBackup ™ セキュリティおよび暗号化ガイド

KMS をインストールする方法

1. nbkms -createemptydb コマンドを実行します。
2. ホストマスターキー（HMK）のパスフレーズを入力します。また、Enter キーを押して、ランダムに生成されるキーを作成することもできます。
3. HMK の ID を入力します。この ID には、HMK を特定するのに使用する、わかりやすい任意の ID を指定できます。
4. キーの保護キー（KPK）のパスフレーズを入力します。
5. KPK の ID を入力します。この ID には、KPK を特定するのに使用する、わかりやすい任意の ID を指定できます。

   ID を入力して Enter キーを押すと、KMS サービスが起動します。

6. 次のように KMS サービスを起動します。

   UNIX で、次のコマンドを実行します。

   /usr/openv/netbackup/bin/nbkms

   Windows の場合は次の手順を実行します。

   Start > Run > Services.msc > Start the NetBackup Key Management Service

7. 次のように、grep コマンドを使用してサービスが起動していることを確認します。ps -ef | grep nbkms
8. 次のコマンドを実行して、nbkms サービスを NetBackup Web サービスに登録します。

   nbkmscmd -discovernbkms

9. キーグループを作成します。キーグループ名はボリュームプール名に一意に一致する必要があります。すべてのキーグループ名には接頭辞 ENCR_ が付いている必要があります。

   メモ:

   クラウドストレージおよび PureDisk でキーマネージメントを使用する場合、キーグループ名に ENCR_ 接頭辞は必要ありません。

   (クラウド以外のストレージ) キーグループを作成するには、次のコマンド構文を使用します。 nbkmsutil -createkg -kgname ENCR_volumepoolname

   ENCR_ 接頭辞は重要です。BPTM は ENCR_ 接頭辞を含むボリュームプール要求を受け取る場合に、そのボリュームプール名を KMS に渡します。KMS はそれがボリュームプールと完全に一致するかを判別し、そのグループからバックアップ用に active キーレコードを取得します。

   クラウドストレージキーグループを作成するには、次のコマンド構文を使用します。

   nbkmsutil -createkg -kgname storage_server_name:volume_name

10. -createkey オプションを使用してキーレコードを作成します。

    nbkmsutil -createkey -kgname ENCR_volumepool -keyname keyname -activate -desc "message"

    キー名およびキーメッセージは任意です。これらは、キーを表示するときにこのキーを特定するのに役立ちます。

    -activate オプションは、prelive 状態をスキップしてこのキーを active として作成します。

11. スクリプトでパスフレーズを求められたら、パスフレーズを再入力します。

    次の例では、キーグループは ENCR_pool1 と呼ばれ、キー名は Q1_2008_key です。説明部分はこのキーが 1 月、2 月、3 月用のキーであることを示します。

    nbkmsutil -createkey -kgname ENCR_pool1 -keyname Q1_2008_key -activate -desc "key for Jan, Feb, & Mar"

12. 同じコマンドを使用して別のキーレコードを作成できます。別のキー名および説明にすると、キーレコードの区別に役立ちます。nbkmsutil -createkey -kgname ENCR_pool1 -keyname Q2_2008_key -activate -desc "key for Apr, May, & Jun"

    メモ:

    コマンド nbkmsutil -kgname name -activate を使用して複数のキーレコードを作成すると、最後のキーのみが active に保たれます。

13. あるキーグループ名に属するすべてのキーを表示するには、次のコマンドを使用します。

    nbkmsutil -listkeys -kgname keyname

    メモ:

    このキーが失われた場合、このキーをリカバリするには、パスフレーズ、Salt (該当する場合)、キーグループ名、キータグが必要です。この情報はすべて安全な場所に保管する必要があります。Salt、キーグループ名およびキータグは、nbkmsutil -listkeys コマンド実行の出力にあります。

    次のコマンドと出力では、この手順の例が使用されています。