搜索 <book_title>...

NetBackup™ 安全和加密指南

Last Published: 2022-10-21

Product(s): NetBackup (10.1)

NetBackup Access Control (NBAC)

NetBackup Access Control (NBAC) 功能将 NetBackup Product Authentication 和 Product Authorization 融入到了 NetBackup 中，从而提高了主服务器、介质服务器和客户端的安全。

请参见关于 NetBackup 安全和加密。

有关 NBAC 的一些要点包括：

身份验证和授权是一起使用的
NBAC 使用来自可信来源的身份验证标识可靠地标识涉及的各方。这样就可以基于这些标识做出有关 NetBackup 操作的访问决策。请注意，现在嵌入了 NetBackup Security Services。
NetBackup Product Authentication 和 Product Authorization 由根代理、身份验证代理、授权引擎和图形用户界面组成。
NBAC 不支持 Oracle、Oracle Archiver、DB2、Informix、Sybase、SQL Server、SAP 和 EV Migrator。
不支持在设备上使用 NBAC。
NBAC 支持 NetBackup 目录库备份。

下表介绍了安全中使用的 NetBackup 组件。

表：安全中使用的 NetBackup 组件

组件	描述
根代理	NetBackup 主服务器是位于数据中心安装中的根代理。对使用其他根代理无规定。建议多个根代理之间互相信任。根代理对身份验证代理进行身份验证。根代理不会对客户端进行身份验证。
身份验证代理	通过确认主服务器、介质服务器、图形用户界面和客户端各自的凭据对其进行身份验证。在命令提示符下操作时，身份验证代理还会对用户进行身份验证。在一个数据中心安装中可以有多个身份验证代理。身份验证代理可以与根代理合二为一。
授权引擎	与主服务器和介质服务器通信，以确定通过身份验证的用户的权限。这些权限决定了针对给定服务器的可用功能。授权引擎还存储用户组和权限。一个数据中心安装中仅需要一个授权引擎。在多数据中心环境中，授权引擎还通过 WAN 进行通信，从而为其他介质服务器授权。
图形用户界面	指定从身份验证代理接收凭据的远程管理控制台。然后图形用户界面可以使用这些凭据获得对客户端、介质服务器和主服务器上的功能的访问。
主服务器	与根代理和身份验证代理、图形用户界面、授权引擎、介质服务器以及客户端通信。
NetBackup 管理员	指定已被授予管理员权限并可从数据中心内访问和管理 NetBackup 功能的用户。
介质服务器	与主服务器、根代理和身份验证代理、授权引擎以及客户端 1 至 6 通信。介质服务器针对客户端 5 将未加密数据写入磁带，针对客户端 6 将加密数据写入磁带。
客户端	指定客户端 1 到 4 是标准 NetBackup 类型。客户端 5 是位于 DMZ 中的 Web 服务器类型。客户端 6 也是位于 DMZ 中的客户端加密类型。所有客户端类型都是由主服务器管理的，并通过介质服务器将其数据备份到磁带中。客户端 5 和 6 使用仅限于 NetBackup 的端口通过内部防火墙与 NetBackup 通信。此外，客户端 5 使用仅限于 HTTP 的端口通过外部防火墙从 Internet 接收连接。
磁带	指定通过添加以下功能，可以提高 NetBackup 中磁带的安全性：客户端加密静态数据加密未加密数据磁带和加密数据磁带都在数据中心产生。为客户端 1 至 5 写入的是未加密磁带数据，并在数据中心场内存储。为客户端 6 写入的是加密磁带，并被运输到到场外的保管库以提供灾难恢复保护机制。
加密	指定 NetBackup Encryption 可以通过提供以下功能来提高安全性：更高的数据机密性如果所有数据都已有效加密，则物理磁带的丢失不会造成严重影响最佳风险降低策略有关加密的更多信息：请参见要考虑的加密安全问题。
线路上数据的安全	包括主服务器、介质服务器、客户端之间的通信，以及使用端口通过防火墙和 WAN 进行的通信。有关端口的更多信息，请参见 NetBackup 网络端口参考指南： NetBackup 的线路上数据部分可以通过以下方式帮助提高安全： NetBackup Access Control (NBAC) 在启用 NBAC 时传统的 NetBackup 后台驻留程序会使用身份验证 CORBA 后台驻留程序使用完全加密通道，从而确保机密性并提供数据完整性防火墙在 NetBackup 和其他产品中禁用未使用的端口： PBX 和 VNETD 专用端口提供增强的 NetBackup 安全需要通过防火墙监视和打开的中央端口集注意: NetBackup 8.1 及更高版本主机之间的通信安全。请参见关于 NetBackup 中的安全通信。
防火墙安全	指定 NetBackup 防火墙支持可以帮助提高安全性。关于防火墙安全的要点包括：建议为 NetBackup 使用防火墙和入侵检测保护。从 NetBackup 的角度看，防火墙保护关系到常规网络安全。防火墙专门用于减少可能会被窃贼尝试撬开的“门锁”。它可能有助于审查阻止 NFS、telnet、FTP 和电子邮件端口的可能性。这些端口并不是使用 NetBackup 时所必不可少的，并且可能为不受欢迎的访问“敞开大门”。尽可能保护主服务器的安全防火墙可以包括内部防火墙和外部防火墙，如下所述：内部防火墙 - 允许 NetBackup 访问 DMZ 中的 Web 服务器客户端 5 和加密客户端 6。仅为通过内部防火墙进出 DMZ 的数据通信启用了选定的 NetBackup 端口和可能的其他应用程序端口。Http 端口是在外部防火墙中打开的，不允许其通过内部防火墙。外部防火墙 - 允许外部用户通过 HTTP 端口从 Internet 访问位于 DMZ 中的 Web 服务器客户端 5。NetBackup 端口处于打开状态，以便于 Web 服务器客户端 5 通过内部防火墙与 NetBackup 进行通信。不允许 NetBackup 端口通过外部防火墙访问 Internet。只有 Web 服务器客户端 5 的 HTTP 端口可以通过外部防火墙访问 Internet。
隔离区 (DMZ)	指定隔离区 (DMZ) 可以提高安全性，如下所述： DMZ 是一个受限制区域，在该区域中，特定主机所允许的端口数量受到高度控制 DMZ 位于外部防火墙和内部防火墙之间。本示例中的公用区域是 Web 服务器。外部防火墙将阻止除 HTTP（标准）和 HTTPS（安全）Web 端口之外的其他所有端口。内部防火墙将阻止除 NetBackup 和数据库端口之外的其他所有端口。DMZ 消除了外部 Internet 访问内部 NetBackup 服务器和数据库信息的可能性。 DMZ 为在内部防火墙和外部防火墙之间的 Web 服务器客户端 5 和加密客户端 6 提供了一个“安全的”操作区域。DMZ 中的 Web 服务器客户端 5 可以使用指定的 NetBackup 端口通过内部防火墙与 NetBackup 通信。Web 服务器客户端 5 还可以仅使用 HTTP 端口通过外部防火墙与 Internet 通信。图：防火墙和 DMZ 示例显示了一个带有 DMZ 的内部防火墙和外部防火墙示例。

下图显示了带有 DMZ 的内部和外部防火墙的示例。

图：防火墙和 DMZ 示例