搜索 <book_title>...

NetBackup™ 安全和加密指南

Last Published: 2022-10-21

Product(s): NetBackup (10.1)

在主服务器和介质服务器上使用 NBAC 的多数据中心

在主服务器和介质服务器上使用 NBAC 的多数据中心示例是一个中到大型主机组（超过 50 台主机）。这些主机跨越两个或更多地理区域，并且可以通过广域网 (WAN) 进行连接。在此示例中，一个数据中心位于伦敦，另一个数据中心位于东京。两个数据中心通过专用 WAN 连接进行连接。

此数据中心示例在主服务器和介质服务器上使用 NetBackup Access Control。数据中心限制对 NetBackup 各部分的访问，并且可以使用 NetBackup 的非 root 管理功能。在此环境内，NBAC 配置为在服务器与 GUI 之间使用。非 root 用户可以使用操作系统（UNIX 密码或 Windows 本地域）登录 NetBackup。或者，可以使用全局用户存储库（NIS/NIS+ 或 Active Directory）来管理 NetBackup。此外，NBAC 可以用于限制特定的个人对 NetBackup 的访问权限级别。例如，您可以将日常操作控制（如添加新策略、机械手等等）从环境配置中分离出来。

在主服务器和介质服务器上使用 NBAC 的多数据中心包括以下要点：

NetBackup 通过 WAN 跨越两个或更多地理区域
以非 root 用户身份进行管理。
使用 Windows 用户 ID 管理 UNIX。
使用 UNIX 帐户管理 Windows。
分离并限制特定用户的操作。
root 或管理员或客户端主机仍可执行本地客户端备份和还原
可以和其他与安全相关的选件组合到一起
所有服务器必须使用 NetBackup 版本 7.7 或更高版本。

图：在主服务器和介质服务器上使用 NBAC 的多数据中心显示了在主服务器和介质服务器上使用 NBAC 的多数据中心示例。

图：在主服务器和介质服务器上使用 NBAC 的多数据中心

下表介绍了在主服务器和介质服务器上使用 NBAC 的多数据中心所使用的 NetBackup 部件。

表：在主服务器和介质服务器上使用 NBAC 的多数据中心所使用的 NetBackup 部件

部件	描述
伦敦数据中心	指定伦敦数据中心包含根代理、身份验证代理 1、GUI 1、授权引擎、主服务器、介质服务器 1 以及客户端 4 和 5。伦敦数据中心还包含客户端 4 和 5 的未加密数据磁带。伦敦数据中心通过专用 WAN 连接连接到东京数据中心。
东京数据中心	指定东京数据中心包含身份验证代理 2、GUI 2、介质服务器 2 以及客户端 10 和 11。东京数据中心还包含客户端 10 和 11 的未加密数据磁带。东京数据中心通过专用 WAN 连接连接到伦敦数据中心。
广域网 (WAN)	指定专用 WAN 链路将伦敦数据中心和东京数据中心连接起来。WAN 提供了根代理和身份验证代理 1 与身份验证代理 2 之间的连接。此外，WAN 还提供根代理和身份验证代理 1 与 GUI 2 以及介质服务器 2 之间的连接。WAN 还将授权引擎连接到介质服务器 2。最后，WAN 将主服务器与 GUI 2、介质服务器 2 以及客户端 10 和 11 连接在一起。
主服务器	指定位于伦敦数据中心的主服务器与根代理和身份验证代理 1 进行通信。它还与 GUI 1、授权引擎和介质服务器 1 进行通信。主服务器与伦敦的客户端 4 和 5 进行通信。主服务器还与伦敦的 GUI 2、介质服务器 2 以及客户端 10 和 11 进行通信。
介质服务器	指定在此多数据中心示例中有两个介质服务器。介质服务器 1 位于伦敦数据中心，介质服务器 2 位于东京数据中心。在伦敦，介质服务器 1 与主服务器、根代理和身份验证代理 1、授权引擎以及客户端 4 和 5 进行通信。介质服务器 1 针对客户端 4 和 5 将未加密数据写入磁带。在东京，介质服务器 2 通过 WAN 与伦敦的主服务器和授权引擎进行通信。介质服务器 2 还与东京的 GUI 2 以及客户端 10 和 11 进行通信。介质服务器 2 针对客户端 10 和 11 将未加密数据写入磁带。
GUI	指定在此多数据中心示例中有两个 GUI。GUI 1 在伦敦，GUI 2 在东京。这些远程管理控制台 GUI 从身份验证代理接收凭据。然后，GUI 使用凭据来访问介质服务器和主服务器上的功能。在伦敦，GUI 1 从身份验证代理 1 接收凭据。GUI 1 有权访问主服务器以及介质服务器 1 和 2 上的功能。在东京，GUI 2 从身份验证代理 2 接收凭据。GUI 2 有权访问主服务器以及介质服务器 1 和 2 上的功能。
根代理	指定在多数据中心安装中只需要一个根代理。有时，根代理会与身份验证代理合二为一。在此示例中，根代理和身份验证代理显示为同一个组件且都位于伦敦数据中心。在伦敦，根代理对同样在伦敦的身份验证代理 1 和在东京的身份验证代理 2 进行身份验证。根代理不会对客户端进行身份验证。
身份验证代理	指定在一个多数据中心安装中可以有多个身份验证代理。有时，可以将身份验证代理与根代理组合在一起。在此数据中心安装中，使用两个身份验证代理。身份验证代理通过确认主服务器、介质服务器和 GUI 各自的凭据对其进行身份验证。身份验证代理还会对指定命令提示符的用户进行身份验证。在伦敦，身份验证代理 1 会使用主服务器、介质服务器 1 和 GUI 1 来执行凭据身份验证。东京和伦敦的所有 NetBackup 服务器和客户端都会针对伦敦的身份验证代理 1 进行身份验证。GUI 1 会对伦敦的身份验证代理 1 进行身份验证。GUI 2 会对东京的身份验证代理 2 进行身份验证。
授权引擎	指定在多数据中心安装中只需要一个授权引擎。授权引擎与主服务器和介质服务器通信，以确定通过身份验证的用户的权限。这些权限决定了功能是否对用户可用。授权引擎还存储用户组和权限。授权引擎驻留在伦敦并与主服务器和介质服务器 1 进行通信。授权引擎还通过 WAN 进行通信，以授予对东京的介质服务器 2 进行访问的权限。注意: 授权引擎作为后台驻留程序进程驻留在主服务器上。在此图中，它显示为一个单独的图像（仅用于示例）。
磁带	指定未加密数据磁带在伦敦数据中心和东京数据中心产生。在伦敦，未加密磁带针对客户端 4 和 5 进行写入并在伦敦数据中心进行场内存储。在东京，未加密磁带针对客户端 10 和 11 进行写入并在东京数据中心进行场内存储。
客户端	指定客户端位于伦敦和东京数据中心。在伦敦，客户端 4 是标准 NetBackup 类型。客户端 5 是位于 DMZ 中的 Web 服务器类型。所有客户端类型都可以由主服务器进行管理，并通过介质服务器 1 将其数据备份到磁带。客户端 5 使用仅限于 NetBackup 的端口通过内部防火墙与 NetBackup 进行通信。此外，客户端 5 使用仅限于 HTTP 的端口通过外部防火墙从 Internet 接收连接。在东京，客户端 10 是标准 NetBackup 类型。客户端 11 是位于 DMZ 中的 Web 服务器类型。所有客户端类型都可以由主服务器进行管理，并通过介质服务器 2 将其数据备份到磁带。客户端 11 使用仅限于 NetBackup 的端口通过内部防火墙与 NetBackup 进行通信。此外，客户端 11 使用仅限于 HTTP 的端口通过外部防火墙从 Internet 接收连接。
内部防火墙	指定在此多数据中心示例中有两个内部防火墙。一个内部防火墙位于伦敦，另一个内部防火墙位于东京。在伦敦，内部防火墙允许 NetBackup 访问 DMZ 中的 Web 服务器客户端 5。在东京，内部防火墙允许 NetBackup 访问 DMZ 中的 Web 服务器客户端 11。仅为通过内部防火墙进出 DMZ 的数据通信启用了选定的 NetBackup 端口和可能的其他应用程序端口。不允许在外部防火墙中打开的 HTTP 端口通过内部防火墙。
隔离区 (DMZ)	指定在此多数据中心示例中有两个 DMZ。一个 DMZ 位于伦敦，另一个 DMZ 位于东京。在伦敦，DMZ 为存在于内部防火墙与外部防火墙之间的 Web 服务器客户端 5 提供“安全”操作区域。DMZ 中的 Web 服务器客户端 5 和经过客户端加密的客户端 6 可以使用指定的 NetBackup 端口通过内部防火墙与 NetBackup 进行通信。Web 服务器客户端 5 还可以仅使用 HTTP 端口通过外部防火墙与 Internet 通信。在东京，DMZ 为存在于内部防火墙与外部防火墙之间的 Web 服务器客户端 11 提供“安全”操作区域。DMZ 中的 Web 服务器客户端 11 可以使用指定的 NetBackup 端口通过内部防火墙与 NetBackup 通信。Web 服务器客户端 11 还可以仅使用 HTTP 端口通过外部防火墙与 Internet 通信。
外部防火墙	指定在此多数据中心示例中有两个外部防火墙。一个外部防火墙位于伦敦，另一个外部防火墙位于东京。在伦敦，外部防火墙允许外部用户通过 HTTP 端口从 Internet 访问位于 DMZ 中的 Web 服务器客户端 5。NetBackup 端口处于打开状态，以便于 Web 服务器客户端 5 通过内部防火墙与 NetBackup 进行通信。不允许 NetBackup 端口通过外部防火墙访问 Internet。只有 Web 服务器客户端 5 的 HTTP 端口可以通过外部防火墙访问 Internet。在东京，外部防火墙允许外部用户通过 HTTP 端口从 Internet 访问位于 DMZ 中的 Web 服务器客户端 11。NetBackup 端口处于打开状态，以便于 Web 服务器客户端 11 通过内部防火墙与 NetBackup 进行通信。不允许 NetBackup 端口通过外部防火墙访问 Internet。只有 Web 服务器客户端 11 的 HTTP 端口可以通过外部防火墙访问 Internet。
Internet	指定只有一个 Internet，但是此多数据中心示例中有两个 Internet 连接。一个 Internet 连接位于伦敦，另一个 Internet 连接位于东京。Internet 是通过铜线、光纤电缆和无线连接链接到一起的互连计算机网络集合。在伦敦，Web 服务器客户端 5 可以通过外部防火墙使用 HTTP 端口在 Internet 上进行通信。在东京，Web 服务器客户端 11 可以通过外部防火墙使用 HTTP 端口在 Internet 上进行通信。