Backup Exec 21 管理指南

将 Backup Exec 与加密配合使用

Backup Exec 提供了加密数据的功能。加密数据可防止未经授权的访问。尝试访问数据的任何人都必须要有您创建的加密密钥。Backup Exec 提供软件加密，也支持某些使用 T10 标准进行硬件加密的设备。当您指定要用于备份作业的存储设备时，Backup Exec 会配置加密。

Backup Exec 支持两种加密安全级别：128 位高级加密标准 (AES) 和 256 位 AES。256 位 AES 加密提供更强的安全级别，因为 256 位 AES 的密钥比 128 位 AES 的密钥更长。但是，使用 128 位 AES 加密时，可以更快地处理备份作业。使用 T10 标准的硬件加密需要 256 位 AES。

运行复制备份作业时，无论选择哪个加密选项，任何已加密的备份集都将保持加密状态。但是，可以对没有加密的备份集进行加密。

有关 Backup Exec 软件加密的最佳做法信息，请参考《Backup Exec 最佳做法》。

本主题包含下列信息：

软件加密

硬件加密

加密密钥

受限密钥和通用密钥

密码短语

安装 Backup Exec 时，安装程序会在 Backup Exec 服务器和使用 Backup Exec 代理的任何远程计算机上安装加密软件。Backup Exec 可以在使用 Backup Exec 代理的计算机上对数据进行加密，然后将加密数据传输到 Backup Exec 服务器。然后，Backup Exec 会将各组加密数据逐一写入到磁带或磁盘存储。

Backup Exec 不会加密 Backup Exec 元数据或非磁盘编录文件和目录信息。

对备份作业进行加密时，可以使用软件压缩。Backup Exec 首先压缩文件，然后进行加密。但是，如果同时使用加密压缩和软件压缩，备份作业将需要更长的时间才能完成。

建议在软件加密时避免使用硬件压缩。硬件压缩可在加密之后执行。在加密过程中，数据会变得随机化。对于已随机化的数据，压缩功能无法有效地工作。

Backup Exec 支持对使用 T10 加密标准的所有存储设备进行硬件加密。使用硬件加密时，将数据从主机计算机传输到存储设备，然后在设备上进行加密。Backup Exec 管理用于访问加密数据的加密密钥。

Backup Exec 仅支持 T10 加密认可的设备。

必须创建加密密钥才能在 Backup Exec 中使用加密。当用户创建加密密钥时，Backup Exec 会使用基于已登录用户的安全标识符的标识符来标记该密钥。创建密钥的用户将成为密钥的所有者。

如果使用合成备份加密，则所有关联备份都必须使用同一个加密密钥。创建基准后，请勿更改此加密密钥。为基准备份选择的加密密钥将自动应用到所有关联备份。

选择要还原的加密数据时，Backup Exec 会检验数据库中是否存在该数据的加密密钥。如果任何密钥都不存在，则 Backup Exec 会提示您重新创建找不到的密钥。如果在安排了作业运行之后删除密钥，作业将失败。

如果在运行编录作业时，Backup Exec 找不到加密密钥，Backup Exec 将会发送警报。如果您知道密码短语，则可以重新创建找不到的加密密钥。

Simplified Disaster Recovery 支持使用以前加密的备份集恢复计算机。如果您有在备份期间加密的 Simplified Disaster Recovery 备份，“恢复此计算机”向导会提示您输入每个加密备份集的密码短语，以便完成恢复。

请参见加密密钥管理。

Backup Exec 具有以下类型的加密密钥：

加密密钥需要类似于密码的密码短语。密码短语通常比密码长，由若干字或文本组构成。理想的密码短语的字符数应介于 8 到 128 之间。128 位 AES 加密的最小字符数为八。256 位 AES 加密的最小字符数为 16。建议您使用的字符数多于最小字符数。

此外，理想的密码短语包含大写和小写字母、数字以及特殊字符的组合。应避免在密码短语中引用文学作品中的语句。

密码短语只能包含可打印的 ASCII 字符，即字符 32 到 126。ASCII 字符 32 是空格字符，可使用键盘上的空格键输入。ASCII 字符 33 到 126 包括：

!"#$%&'()*+,-./0123456789:;<=>?@ABCDEFGHIJKLMNOPQRSTUVWXYZ

[\]^_‘abcdefghijklmnopqrstuvwxyz{|}~

请参见加密密钥管理。