Avamar: Comprensión de la funcionalidad de cifrado en reposo
Summary: En este artículo, se analizan aspectos de la funcionalidad de cifrado en reposo de Avamar, incluidos su propósito y advertencias. En las secciones internas de este artículo, que solo está disponible para el personal y los partners de Dell, se explica cómo configurarlo. ...
This article applies to
This article does not apply to
This article is not tied to any specific product.
Not all product versions are identified in this article.
Instructions
El propósito de este artículo es analizar el uso del cifrado en reposo en un Avamar Server.
Esta es una función avanzada y supone que tiene experiencia con los comandos regulares de Avamar que se utilizan para las actividades de mantenimiento y soporte del sistema. De lo contrario, no continúe. Consulte a una persona debidamente capacitada.
El Apéndice técnico de Avamar documenta el comando "avmaint atrestencryption", pero no describe cómo implementarlo de manera segura en un sistema Avamar de producción.
En este artículo, se describe la implementación y se responden algunas preguntas comunes relacionadas con el cifrado en reposo.
Estos fragmentos de datos desduplicados ("atómicos") se escriben en .dat archivos. Los metadatos y los datos de índice se escriben en otros archivos de sección (.inx, .chd, .cdt , etc.).
Este proceso "destruye" los datos de respaldo, ya que se dividen en partes pequeñas y se dispersan por todo el sistema.
Aunque no se pueden leer archivos completos, es posible ver fragmentos de archivos. Si ejecutamos 'strings' en una franja de datos, es posible que se vean fragmentos de datos de texto sin formato.
A continuación, se muestra un ejemplo de un Avamar de nodo único:
1. ¿Qué problema resuelve el cifrado en reposo?
El cifrado en reposo cifra las fracciones de datos que contienen los datos de respaldo del usuario.
Una vez habilitada, si alguien robaba Avamar o sus unidades de disco, tendría que descifrar los datos antes de que pudieran leerse.
El cifrado en reposo evita que alguien con acceso a la aplicación Avamar o al nivel del sistema operativo inicie sesión en el sistema Avamar y restaure los datos. Esto es posible mediante la interfaz de usuario o mediante la ejecución de comandos avtar y la restauración de archivos dentro de GSAN en el nodo de utilidad.
2. ¿Cuándo se puede habilitar el cifrado en reposo?
El cifrado en reposo se puede habilitar durante el flujo de trabajo de instalación para que esté vigente desde el comienzo de la vida útil del servidor Avamar.
Durante este proceso, el instalador solicita una sal y una contraseña para el cifrado en reposo. Si se especifican una sal y una contraseña, la función está activada.
Después de inicializar un sistema, se puede habilitar el cifrado en reposo. Sin embargo, la ejecución del comando avmaint después de la inicialización afecta solo a las franjas de datos recién creadas y a las franjas de datos que luego se procesan.
Aunque podemos estar seguros de que el procesamiento se producirá finalmente en todas las bandas no cifradas, no podemos garantizarlo. Las secciones creadas antes de que se habilite el cifrado en reposo pueden permanecer sin cifrar durante mucho tiempo. A veces, posiblemente para siempre.
Por ejemplo, existe la posibilidad de que Avamar pueda llenar una franja con datos estáticos (como vaciados de MCS que contienen información confidencial, como nombres de host). Si esa franja nunca cambia, nunca se somete a la recolección o el procesamiento de elementos no utilizados y nunca se cifrará.
Por lo tanto, habilite el cifrado en reposo solo como parte del flujo de trabajo de instalación.
3. Sobrecarga de rendimiento debido al uso del cifrado en reposo
Una pregunta común es "¿Por qué se debe reducir el límite de diskreadonly en los sistemas configurados con cifrado en reposo?"
El cifrado y descifrado de todas las secciones almacenadas en una Avamar GSAN requiere que los nodos de almacenamiento realicen una gran cantidad de trabajo adicional.
El equipo de ingeniería ha observado que la sobrecarga de procesamiento adicional requerida es hasta un 50 % mayor que en un sistema en el que el cifrado en reposo no está habilitado.
Por lo tanto, en Avamar, donde el cifrado en reposo está habilitado, el límite de diskreadonly DEBE reducirse del 65 % predeterminado al 40 %. Esto significa que se requiere 1,5 veces la cantidad de nodos para almacenar la misma cantidad de datos que uno cuyas fracciones no están cifradas.
Esto es con el fin de garantizar que se mantenga un rendimiento aceptable y la confiabilidad.
4. ¿Se puede deshabilitar el cifrado en reposo?
Una vez que el cifrado en reposo se ha habilitado en un sistema Avamar, no se puede deshabilitar, solo se pueden cambiar las sales de cifrado.
5. Cómo demostrar que el cifrado en reposo está habilitado.
En un sistema Avamar donde se ha habilitado el cifrado en reposo, debería ver un resultado similar a la siguiente: avmaint nodelist --xmlperline=9999 | grep atrestencryption
En el shell de comandos aparece información similar a la siguiente:
<atrestencryption-status enabled="true" nr-salts="1"/>
Where:
enabled="true" nr-salts="1" indica que el cifrado en reposo está habilitado.
enabled="false" nr-salts="0" indica que el cifrado en reposo no está habilitado.
Ejemplo:-
Esta es una función avanzada y supone que tiene experiencia con los comandos regulares de Avamar que se utilizan para las actividades de mantenimiento y soporte del sistema. De lo contrario, no continúe. Consulte a una persona debidamente capacitada.
El Apéndice técnico de Avamar documenta el comando "avmaint atrestencryption", pero no describe cómo implementarlo de manera segura en un sistema Avamar de producción.
En este artículo, se describe la implementación y se responden algunas preguntas comunes relacionadas con el cifrado en reposo.
- ¿Qué problema resuelve el cifrado en reposo?
- ¿Cuándo se puede habilitar el cifrado en reposo?
- Sobrecarga de rendimiento debido al uso del cifrado en reposo
- ¿Se puede deshabilitar el cifrado en reposo?
- Procedimiento para habilitar el cifrado en reposo (disponible solo para partners y personal interno de Dell)
- Cómo demostrar que el cifrado en reposo está habilitado
Estos fragmentos de datos desduplicados ("atómicos") se escriben en .dat archivos. Los metadatos y los datos de índice se escriben en otros archivos de sección (.inx, .chd, .cdt , etc.).
Este proceso "destruye" los datos de respaldo, ya que se dividen en partes pequeñas y se dispersan por todo el sistema.
Aunque no se pueden leer archivos completos, es posible ver fragmentos de archivos. Si ejecutamos 'strings' en una franja de datos, es posible que se vean fragmentos de datos de texto sin formato.
A continuación, se muestra un ejemplo de un Avamar de nodo único:
admin@utility:/data01/cur/>: strings 000000000000002E.dat
5900>: Workorder received:
<restore pid="
firm="true" ack
msgver="5"
timeout="10"
="XXXD
ath="Mailbox Database 0904743075" key
sync="fg" cd
d15696dae634d00c120b45e56d0ad2410380d945" mx
6064/776
0/33" wr
<targets>.D
tem_info/BL)
upComponentsDocument.xml
{76fe1ac4-15f7-4bcd-987e-8t
b462fb7}01
_chain
Dado que los fragmentos de datos pueden contener direcciones de correo electrónico, direcciones IP, nombres de host u otra información confidencial, algunos consideran que esto es un riesgo de seguridad inaceptable.
1. ¿Qué problema resuelve el cifrado en reposo?
El cifrado en reposo cifra las fracciones de datos que contienen los datos de respaldo del usuario.
Una vez habilitada, si alguien robaba Avamar o sus unidades de disco, tendría que descifrar los datos antes de que pudieran leerse.
El cifrado en reposo evita que alguien con acceso a la aplicación Avamar o al nivel del sistema operativo inicie sesión en el sistema Avamar y restaure los datos. Esto es posible mediante la interfaz de usuario o mediante la ejecución de comandos avtar y la restauración de archivos dentro de GSAN en el nodo de utilidad.
2. ¿Cuándo se puede habilitar el cifrado en reposo?
El cifrado en reposo se puede habilitar durante el flujo de trabajo de instalación para que esté vigente desde el comienzo de la vida útil del servidor Avamar.
Durante este proceso, el instalador solicita una sal y una contraseña para el cifrado en reposo. Si se especifican una sal y una contraseña, la función está activada.
Después de inicializar un sistema, se puede habilitar el cifrado en reposo. Sin embargo, la ejecución del comando avmaint después de la inicialización afecta solo a las franjas de datos recién creadas y a las franjas de datos que luego se procesan.
Aunque podemos estar seguros de que el procesamiento se producirá finalmente en todas las bandas no cifradas, no podemos garantizarlo. Las secciones creadas antes de que se habilite el cifrado en reposo pueden permanecer sin cifrar durante mucho tiempo. A veces, posiblemente para siempre.
Por ejemplo, existe la posibilidad de que Avamar pueda llenar una franja con datos estáticos (como vaciados de MCS que contienen información confidencial, como nombres de host). Si esa franja nunca cambia, nunca se somete a la recolección o el procesamiento de elementos no utilizados y nunca se cifrará.
Por lo tanto, habilite el cifrado en reposo solo como parte del flujo de trabajo de instalación.
3. Sobrecarga de rendimiento debido al uso del cifrado en reposo
Una pregunta común es "¿Por qué se debe reducir el límite de diskreadonly en los sistemas configurados con cifrado en reposo?"
El cifrado y descifrado de todas las secciones almacenadas en una Avamar GSAN requiere que los nodos de almacenamiento realicen una gran cantidad de trabajo adicional.
El equipo de ingeniería ha observado que la sobrecarga de procesamiento adicional requerida es hasta un 50 % mayor que en un sistema en el que el cifrado en reposo no está habilitado.
Por lo tanto, en Avamar, donde el cifrado en reposo está habilitado, el límite de diskreadonly DEBE reducirse del 65 % predeterminado al 40 %. Esto significa que se requiere 1,5 veces la cantidad de nodos para almacenar la misma cantidad de datos que uno cuyas fracciones no están cifradas.
Esto es con el fin de garantizar que se mantenga un rendimiento aceptable y la confiabilidad.
4. ¿Se puede deshabilitar el cifrado en reposo?
Una vez que el cifrado en reposo se ha habilitado en un sistema Avamar, no se puede deshabilitar, solo se pueden cambiar las sales de cifrado.
5. Cómo demostrar que el cifrado en reposo está habilitado.
En un sistema Avamar donde se ha habilitado el cifrado en reposo, debería ver un resultado similar a la siguiente: avmaint nodelist --xmlperline=9999 | grep atrestencryption
En el shell de comandos aparece información similar a la siguiente:
<atrestencryption-status enabled="true" nr-salts="1"/>
Where:
enabled="true" nr-salts="1" indica que el cifrado en reposo está habilitado.
enabled="false" nr-salts="0" indica que el cifrado en reposo no está habilitado.
Ejemplo:-
avmaint nodelist --xmlperline=9999 | grep atrestencryption
<atrestencryption-status enabled="true" nr-salts="1"/>
<atrestencryption-status enabled="true" nr-salts="1"/>
<atrestencryption-status enabled="true" nr-salts="1"/>
<atrestencryption-status enabled="true" nr-salts="1"/>
En un sistema en el que el cifrado en reposo se realiza en la inicialización o antes de que se creen las secciones, una vez que se crean y cifran las secciones, solo contienen galimatías si intentamos leerlas usando el comando "strings" como antes.
admin@utility:/data01/cur/>: strings 0000000000000656.dat | less
p T7T5s| 1 N © M1 c]LP ,iCE ol v < #6U, ~ )XW D TU ( A: ) ~ ,t} '
3ET S _b kE l>5Q T yc ®x` `' s Kg 4g sh . 8 c! e , A M a M} kX; A 1v z
_ { !{a X JUS * nD 8+ TE2Tf S h,37 QX G * " ®u +8 ' !{+2w 6 PE
Additional Information
Preguntas frecuentes:
¿Cómo se deben configurar los sistemas Griffin (combinación de Avamar/Data Domain) con la característica?
Avamar y Data Domain se deben configurar con cifrado en reposo por separado.
Dell EMC Data Domain Encryption: preguntas
frecuentes¿El nivel de diskreadonly del 40 % aún se aplica al hardware de almacén de datos de Avamar más reciente?
En septiembre de 2016 se consultó al equipo de ingeniería al respecto. La configuración de diskreadonly del 40 % se aplica al hardware más reciente (4.ª generación T). El equipo de administración de productos está considerando la solicitud, pero no tiene planes de volver a evaluar el límite.
Si un cliente tiene un par de servidores Avamar de replicación, ¿se deben configurar ambos sistemas con E.A.R?
No, cada sistema es independiente. Cuando los datos de un sistema cifrado se replican en un Avamar sin cifrar, el sistema de destino crea franjas sin cifrar.
De manera similar, si un Avamar no cifrado replica datos a un sistema cifrado, los respaldos se escriben en fracciones cifradas.
Una vez habilitado, ¿se puede deshabilitar el cifrado en reposo?
No. Para lograr esto, los datos se deben replicar en un servidor Avamar en el que no esté configurado el cifrado en reposo.
Si un cliente tiene un par de servidores Avamar de replicación, ¿se deben configurar ambos sistemas con E.A.R?
No, cada sistema es independiente. Cuando los datos de un sistema cifrado se replican en un Avamar sin cifrar, el sistema de destino crea franjas sin cifrar.
De manera similar, si un Avamar no cifrado replica datos a un sistema cifrado, los respaldos se escriben en fracciones cifradas.
Una vez habilitado, ¿se puede deshabilitar el cifrado en reposo?
No. Para lograr esto, los datos se deben replicar en un servidor Avamar en el que no esté configurado el cifrado en reposo.
Affected Products
AvamarProducts
Avamar, Avamar ServerArticle Properties
Article Number: 000046249
Article Type: How To
Last Modified: 14 Jul 2026
Version: 6
Find answers to your questions from other Dell users
Support Services
Check if your device is covered by Support Services.