Avamar:静止データの暗号化機能について
Summary: この記事では、目的や注意事項など、Avamarの静止データの暗号化機能の側面について説明します。この記事の内部セクション(Dellのスタッフとパートナーのみが利用できます)では、その設定方法について説明します。
This article applies to
This article does not apply to
This article is not tied to any specific product.
Not all product versions are identified in this article.
Instructions
この記事の目的は、Avamar Serverでの静止データの暗号化の使用について説明することです。
これは高度な機能であり、読者がシステム メンテナンスおよびサポート アクティビティーに使用される通常のAvamarコマンドの使用経験があることを前提としています。それ以外の場合は、続行しないでください。適切なスキルを持った担当者に相談してください
Avamar技術補遺には、「avmaint atrestencryption」コマンドについて記載されていますが、本番Avamarシステムに安全に実装する方法については説明していません。
この記事では、実装について説明し、保存時の暗号化に関連するいくつかの一般的な質問に回答します。
これらの重複排除された(「アトミック」)データ チャンクは、 .dat ファイルに書き込まれます。メタデータとインデックス データは、他のストライプ ファイル(.inx、.chd、.cdt など)に書き込まれます
バックアップ データは細かく分割され、システム全体に散らばっているため、このプロセスではバックアップ データが「破砕」されます。
ファイル全体を読み取ることはできませんが、ファイルの断片を表示することは可能です。データ ストライプで「文字列」を実行すると、プレーン テキスト データの一部が表示される場合があります
以下は、シングル ノードAvamarの例です。
1.保存データの暗号化はどのような問題を解決しますか
静止データ暗号化は、ユーザー バックアップ データを含むデータ ストライプを暗号化します。
有効にすると、誰かがAvamarまたはそのディスク ドライブを盗んだ場合、データを読み取る前に復号化する必要があります。
静止データの暗号化は、AvamarアプリケーションまたはOSレベルのアクセス権を持つユーザーが、Avamarシステムにログインしてデータをリストアすることを防ぎます。これは、UIを使用するか、avtarコマンドを実行してGSAN内のファイルをユーティリティー ノードにリストアすることによって可能です。
2.保存データの暗号化はいつ有効にできますか?
保存データの暗号化は、インストール ワークフロー中に有効にして、Avamar Serverのライフサイクルの最初から有効にすることができます
このプロセス中に、インストーラーは保存時の暗号化のソルトとパスワードの入力を求めます。ソルトとパスワードが指定されている場合、この機能は有効になります。
システムを初期化したら、静止データの暗号化を有効にすることができます。ただし、初期化後に avmaint コマンドを実行すると、新しく作成されたデータ ストライプと、後で処理されるデータ ストライプにのみ影響します。
クランチングは、最終的には暗号化されていないすべてのストライプで実行されると確信できますが、保証はできません。静止データの暗号化が有効になる前に作成されたストライプは、長期間にわたって暗号化されないままになる場合があります。時々、もしかしたら永遠に。
たとえば、Avamarによってストライプが静的データでいっぱいになる可能性があります(ホスト名などの機密情報を含むMCSフラッシュなど)。 このストライプが変更されなければ、ガベージ コレクションやクランチングは行われず、暗号化されることもありません。
したがって、保存データの暗号化は、インストール ワークフローの一部としてのみ有効にしてください。
3.静止データ暗号化の使用によるパフォーマンス オーバーヘッド
よくある質問は、「静止時の暗号化が設定されたシステムでdiskreadonlyの制限を下げる必要があるのはなぜですか?」です
Avamar GSANに格納されているすべてのストライプを暗号化および復号化するには、ストレージ ノードが実行する大量の追加作業を必要とします。
エンジニアリング チームは、必要な追加の処理オーバーヘッドは、静止データの暗号化が有効になっていないシステムよりも最大50%大きくなることを確認しています。
したがって、保存データの暗号化が有効になっているAvamarでは、diskreadonlyの制限をデフォルトの65%から40%に減らす必要があります。つまり、ストライプが暗号化されていないノードと同じ量のデータを格納するには、1.5倍のノード数が必要になります。
これは、許容できるパフォーマンスと信頼性が維持されるようにするためです。
4.保存データの暗号化を無効にすることはできますか
Avamarシステムで静止データの暗号化を有効にすると、無効にすることはできません。変更できるのは暗号化ソルトのみです
5.保存データの暗号化が有効になっていることを実証する方法
保存データの暗号化が有効になっているAvamarシステムでは、次のような出力が表示されます
avmaint nodelist --xmlperline=9999 | grep atrestencryption
次のような出力が、コマンド シェルに表示されます。
<atrestencryption-status enabled="true" nr-salts="1"/>
Where:
enabled="true" nr-salts="1"は、保存データの暗号化が有効になっていることを示します。
enabled="false" nr-salts="0"は、静止データの暗号化が有効になっていないことを示します
例：-
これは高度な機能であり、読者がシステム メンテナンスおよびサポート アクティビティーに使用される通常のAvamarコマンドの使用経験があることを前提としています。それ以外の場合は、続行しないでください。適切なスキルを持った担当者に相談してください
Avamar技術補遺には、「avmaint atrestencryption」コマンドについて記載されていますが、本番Avamarシステムに安全に実装する方法については説明していません。
この記事では、実装について説明し、保存時の暗号化に関連するいくつかの一般的な質問に回答します。
- 保存データの暗号化はどのような問題を解決しますか?
- 保存データの暗号化はいつ有効にできますか?
- 保存データの暗号化使用によるパフォーマンス オーバーヘッド
- 静止データの暗号化を無効にすることはできますか?
- 保存データの暗号化を有効にする手順(Dell社内スタッフとパートナーのみが使用可能)
- 保存データの暗号化が有効であることを示す方法
これらの重複排除された(「アトミック」)データ チャンクは、 .dat ファイルに書き込まれます。メタデータとインデックス データは、他のストライプ ファイル(.inx、.chd、.cdt など)に書き込まれます
バックアップ データは細かく分割され、システム全体に散らばっているため、このプロセスではバックアップ データが「破砕」されます。
ファイル全体を読み取ることはできませんが、ファイルの断片を表示することは可能です。データ ストライプで「文字列」を実行すると、プレーン テキスト データの一部が表示される場合があります
以下は、シングル ノードAvamarの例です。
admin@utility:/data01/cur/>: strings 000000000000002E.dat
5900>: Workorder received:
<restore pid="
firm="true" ack
msgver="5"
timeout="10"
="XXXD
ath="Mailbox Database 0904743075" key
sync="fg" cd
d15696dae634d00c120b45e56d0ad2410380d945" mx
6064/776
0/33" wr
<targets>.D
tem_info/BL)
upComponentsDocument.xml
{76fe1ac4-15f7-4bcd-987e-8t
b462fb7}01
_chain
データ チャンクにはEメール アドレス、IPアドレス、ホスト名、その他の機密情報が含まれている可能性があるため、これを許容できないセキュリティ リスクと見なす人もいます
1.保存データの暗号化はどのような問題を解決しますか
静止データ暗号化は、ユーザー バックアップ データを含むデータ ストライプを暗号化します。
有効にすると、誰かがAvamarまたはそのディスク ドライブを盗んだ場合、データを読み取る前に復号化する必要があります。
静止データの暗号化は、AvamarアプリケーションまたはOSレベルのアクセス権を持つユーザーが、Avamarシステムにログインしてデータをリストアすることを防ぎます。これは、UIを使用するか、avtarコマンドを実行してGSAN内のファイルをユーティリティー ノードにリストアすることによって可能です。
2.保存データの暗号化はいつ有効にできますか?
保存データの暗号化は、インストール ワークフロー中に有効にして、Avamar Serverのライフサイクルの最初から有効にすることができます
このプロセス中に、インストーラーは保存時の暗号化のソルトとパスワードの入力を求めます。ソルトとパスワードが指定されている場合、この機能は有効になります。
システムを初期化したら、静止データの暗号化を有効にすることができます。ただし、初期化後に avmaint コマンドを実行すると、新しく作成されたデータ ストライプと、後で処理されるデータ ストライプにのみ影響します。
クランチングは、最終的には暗号化されていないすべてのストライプで実行されると確信できますが、保証はできません。静止データの暗号化が有効になる前に作成されたストライプは、長期間にわたって暗号化されないままになる場合があります。時々、もしかしたら永遠に。
たとえば、Avamarによってストライプが静的データでいっぱいになる可能性があります(ホスト名などの機密情報を含むMCSフラッシュなど)。 このストライプが変更されなければ、ガベージ コレクションやクランチングは行われず、暗号化されることもありません。
したがって、保存データの暗号化は、インストール ワークフローの一部としてのみ有効にしてください。
3.静止データ暗号化の使用によるパフォーマンス オーバーヘッド
よくある質問は、「静止時の暗号化が設定されたシステムでdiskreadonlyの制限を下げる必要があるのはなぜですか?」です
Avamar GSANに格納されているすべてのストライプを暗号化および復号化するには、ストレージ ノードが実行する大量の追加作業を必要とします。
エンジニアリング チームは、必要な追加の処理オーバーヘッドは、静止データの暗号化が有効になっていないシステムよりも最大50%大きくなることを確認しています。
したがって、保存データの暗号化が有効になっているAvamarでは、diskreadonlyの制限をデフォルトの65%から40%に減らす必要があります。つまり、ストライプが暗号化されていないノードと同じ量のデータを格納するには、1.5倍のノード数が必要になります。
これは、許容できるパフォーマンスと信頼性が維持されるようにするためです。
4.保存データの暗号化を無効にすることはできますか
Avamarシステムで静止データの暗号化を有効にすると、無効にすることはできません。変更できるのは暗号化ソルトのみです
5.保存データの暗号化が有効になっていることを実証する方法
保存データの暗号化が有効になっているAvamarシステムでは、次のような出力が表示されます
avmaint nodelist --xmlperline=9999 | grep atrestencryption
次のような出力が、コマンド シェルに表示されます。
<atrestencryption-status enabled="true" nr-salts="1"/>
Where:
enabled="true" nr-salts="1"は、保存データの暗号化が有効になっていることを示します。
enabled="false" nr-salts="0"は、静止データの暗号化が有効になっていないことを示します
例：-
avmaint nodelist --xmlperline=9999 | grep atrestencryption
<atrestencryption-status enabled="true" nr-salts="1"/>
<atrestencryption-status enabled="true" nr-salts="1"/>
<atrestencryption-status enabled="true" nr-salts="1"/>
<atrestencryption-status enabled="true" nr-salts="1"/>
初期化時またはストライプが作成される前に静止時の暗号化が実行されるシステムでは、ストライプが作成されて暗号化されると、以前のように「strings」コマンドを使用してストライプを読み取ろうとすると、意味不明なものしか含まれません。
admin@utility:/data01/cur/>: strings 0000000000000656.dat | less
p T7T5s| 1 N © M1 c]LP ,iCE ol v < #6U, ~ )XW D TU ( A: ) ~ ,t} '
3ET S _b kE l>5Q T yc ®x` `' s Kg 4g sh . 8 c! e , A M a M} kX; A 1v z
_ { !{a X JUS * nD 8+ TE2Tf S h,37 QX G * " ®u +8 ' !{+2w 6 PE
Additional Information
よくある質問:
この機能を使用して、Griffinシステム(Avamar/Data Domainの組み合わせ)をどのように構成する必要があります
AvamarとData Domainはどちらも、保存データの暗号化を別々に設定する必要があります。
Dell EMC Data Domain Encryption - よくある質問
40%のdiskreadonlyレベルは、最新のAvamar Datastoreハードウェアに引き続き適用されますか?
これについては、2016年9月にエンジニアリングに相談しました。40% の diskreadonly 設定は、最新のハードウェア (Gen4T) に適用されます。製品管理部門はリクエストを検討していますが、制限を再評価する予定はありません。
お客様がAvamar Serverのレプリケート ペアを使用している場合、両方のシステムをE.A.Rで構成する必要があります
いいえ、各システムは独立しています。暗号化されたシステム上のデータが暗号化されていないAvamarにレプリケートされると、ターゲット システムは暗号化されていないストライプを作成します。
同様に、暗号化されていないAvamarが暗号化されたシステムにデータをレプリケートする場合、バックアップは暗号化されたストライプに書き込まれます
有効にした後で、静止データの暗号化を無効にすることはできますか
いいえ。これを実現するには、静止データの暗号化が設定されていないAvamar Serverにデータをレプリケートする必要があります。
お客様がAvamar Serverのレプリケート ペアを使用している場合、両方のシステムをE.A.Rで構成する必要があります
いいえ、各システムは独立しています。暗号化されたシステム上のデータが暗号化されていないAvamarにレプリケートされると、ターゲット システムは暗号化されていないストライプを作成します。
同様に、暗号化されていないAvamarが暗号化されたシステムにデータをレプリケートする場合、バックアップは暗号化されたストライプに書き込まれます
有効にした後で、静止データの暗号化を無効にすることはできますか
いいえ。これを実現するには、静止データの暗号化が設定されていないAvamar Serverにデータをレプリケートする必要があります。
Affected Products
AvamarProducts
Avamar, Avamar ServerArticle Properties
Article Number: 000046249
Article Type: How To
Last Modified: 14 Jul 2026
Version: 6
Find answers to your questions from other Dell users
Support Services
Check if your device is covered by Support Services.