Avamar : présentation de la fonctionnalité de chiffrement au repos
Summary: Cet article aborde différents aspects de la fonctionnalité de chiffrement au repos d’Avamar, notamment son objectif et ses inconvénients. Les sections internes de cet article, qui sont disponibles pour le personnel et les partenaires Dell uniquement, expliquent comment le configurer. ...
This article applies to
This article does not apply to
This article is not tied to any specific product.
Not all product versions are identified in this article.
Instructions
Cet article a pour objet d’aborder l’utilisation du chiffrement au repos sur une instance d’Avamar Server.
Il s’agit d’une fonctionnalité avancée, qui suppose que vous maîtrisiez les commandes Avamar classiques utilisées pour les activités de maintenance et de support du système. Sinon, arrêtez de poursuivre. Consultez une personne compétente.
L’addendum technique Avamar décrit la commande « avmaint atrestencryption », mais ne décrit pas comment l’implémenter en toute sécurité sur un système Avamar de production.
Cet article décrit la mise en œuvre et répond à certaines questions courantes relatives au chiffrement au repos.
Ces fragments de données dédupliqués (« atomiques ») sont écrits dans .dat fichiers. Les métadonnées et les données d’index sont écrites dans d’autres fichiers de bande (.inx, .chd, .cdt , etc.).
Ce processus « détruit » les données de sauvegarde, car elles sont fragmentées en petits morceaux et dispersées dans le système.
Bien que des fichiers entiers ne puissent pas être lus, il est possible d’afficher des fragments de fichiers. Si nous exécutons des « chaînes » sur une bande de données, des morceaux de données en texte brut peuvent être visibles.
Vous trouverez ci-dessous un exemple d’Avamar à nœud unique :
1. Quel problème le chiffrement au repos résout-il ?
Encryption at rest chiffre les bandes de données qui contiennent les données de sauvegarde de l’utilisateur.
Une fois activé, si quelqu’un volait Avamar ou ses lecteurs de disque, il devait déchiffrer les données avant qu’elles puissent être lues.
Le chiffrement au repos empêche toute personne disposant d’un accès au niveau des applications ou du système d’exploitation Avamar de se connecter au système Avamar et de restaurer des données. Cela est possible à l’aide de l’interface utilisateur ou en exécutant les commandes avtar et en restaurant les fichiers dans le GSAN sur le nœud utilitaire.
2. Quand le chiffrement au repos peut-il être activé ?
Encryption at rest peut être activé pendant le workflow d’installation afin qu’il soit effectif dès le début de vie d’Avamar Server.
Au cours de ce processus, le programme d’installation demande un salage et un mot de passe pour le chiffrement au repos. Si un salage et un mot de passe sont spécifiés, la fonctionnalité est activée.
Une fois qu’un système a été initialisé, le chiffrement au repos peut être activé. Toutefois, l’exécution de la commande avmaint après l’initialisation affecte uniquement les bandes de données nouvellement créées et les bandes de données qui sont traitées ultérieurement.
Bien que nous puissions être sûrs que le crunching finit par se produire sur chaque bande non chiffrée, nous ne pouvons pas le garantir. Les bandes créées avant l’activation du chiffrement au repos peuvent rester non chiffrées pendant une longue période. Parfois, peut-être pour toujours.
Par exemple, il est possible qu’Avamar remplisse une bande avec des données statiques (comme les vidages MCS qui contiennent des données sensibles telles que les noms d’hôte). Si cette bande ne change jamais, elle ne fait jamais l’objet d’un nettoyage de la mémoire ou d’un traitement de la mémoire et ne sera jamais chiffrée.
Par conséquent, activez uniquement le chiffrement au repos dans le cadre du workflow d’installation.
3. Surcharge de performances liée à l’utilisation du chiffrement au repos
Une question fréquente est « Pourquoi la limite diskreadonly doit-elle être abaissée sur les systèmes configurés avec chiffrement au repos ? »
Le chiffrement et le déchiffrement de toutes les bandes stockées dans un GSAN Avamar requièrent un travail supplémentaire considérable pour les nœuds de stockage.
Les ingénieurs ont observé que la surcharge de traitement supplémentaire requise est jusqu’à 50 % supérieure à celle d’un système sur lequel le chiffrement au repos n’est pas activé.
Par conséquent, sur Avamar où le chiffrement au repos est activé, la limite diskreadonly DOIT être réduite de 65 % par défaut à 40 %. Cela signifie qu’il faut 1,5 fois plus de nœuds pour stocker la même quantité de données qu’un nœud dont les bandes ne sont pas chiffrées.
Ceci afin de s’assurer que les performances et la fiabilité acceptables sont maintenues.
4. Le chiffrement au repos peut-il être désactivé ?
Une fois que le chiffrement au repos a été activé sur un système Avamar, il ne peut pas être désactivé, seuls les sels de chiffrement peuvent être modifiés.
5. Comment démontrer que le chiffrement au repos est activé.
Sur un système Avamar sur lequel le chiffrement au repos a été activé, vous devriez voir un résultat semblable
ausuivant : avmaint nodelist --xmlperline=9999 | grep atrestencryption
Des informations similaires à ce qui suit apparaissent dans le shell de commande :
<atrestencryption-status enabled="true » nr-salts="1"/>
Where :
enabled="true » nr-salts="1 » indique que le chiffrement au repos est activé.
enabled="false » nr-salts="0 » Indique que le chiffrement au repos n’est pas activé.
Exemple:-
Il s’agit d’une fonctionnalité avancée, qui suppose que vous maîtrisiez les commandes Avamar classiques utilisées pour les activités de maintenance et de support du système. Sinon, arrêtez de poursuivre. Consultez une personne compétente.
L’addendum technique Avamar décrit la commande « avmaint atrestencryption », mais ne décrit pas comment l’implémenter en toute sécurité sur un système Avamar de production.
Cet article décrit la mise en œuvre et répond à certaines questions courantes relatives au chiffrement au repos.
- Quel problème le chiffrement au repos résout-il ?
- Quand le chiffrement au repos peut-il être activé ?
- Surcharge de performances liée à l’utilisation du chiffrement au repos
- Le chiffrement au repos peut-il être désactivé ?
- Procédure d’activation du chiffrement au repos (disponible uniquement pour le personnel interne et les partenaires Dell)
- Comment démontrer que le chiffrement au repos est activé
Ces fragments de données dédupliqués (« atomiques ») sont écrits dans .dat fichiers. Les métadonnées et les données d’index sont écrites dans d’autres fichiers de bande (.inx, .chd, .cdt , etc.).
Ce processus « détruit » les données de sauvegarde, car elles sont fragmentées en petits morceaux et dispersées dans le système.
Bien que des fichiers entiers ne puissent pas être lus, il est possible d’afficher des fragments de fichiers. Si nous exécutons des « chaînes » sur une bande de données, des morceaux de données en texte brut peuvent être visibles.
Vous trouverez ci-dessous un exemple d’Avamar à nœud unique :
admin@utility:/data01/cur/>: strings 000000000000002E.dat
5900>: Workorder received:
<restore pid="
firm="true" ack
msgver="5"
timeout="10"
="XXXD
ath="Mailbox Database 0904743075" key
sync="fg" cd
d15696dae634d00c120b45e56d0ad2410380d945" mx
6064/776
0/33" wr
<targets>.D
tem_info/BL)
upComponentsDocument.xml
{76fe1ac4-15f7-4bcd-987e-8t
b462fb7}01
_chain
Étant donné que les fragments de données peuvent contenir des adresses e-mail, des adresses IP, des noms d’hôte ou d’autres informations sensibles, certains considèrent qu’il s’agit d’un risque de sécurité inacceptable.
1. Quel problème le chiffrement au repos résout-il ?
Encryption at rest chiffre les bandes de données qui contiennent les données de sauvegarde de l’utilisateur.
Une fois activé, si quelqu’un volait Avamar ou ses lecteurs de disque, il devait déchiffrer les données avant qu’elles puissent être lues.
Le chiffrement au repos empêche toute personne disposant d’un accès au niveau des applications ou du système d’exploitation Avamar de se connecter au système Avamar et de restaurer des données. Cela est possible à l’aide de l’interface utilisateur ou en exécutant les commandes avtar et en restaurant les fichiers dans le GSAN sur le nœud utilitaire.
2. Quand le chiffrement au repos peut-il être activé ?
Encryption at rest peut être activé pendant le workflow d’installation afin qu’il soit effectif dès le début de vie d’Avamar Server.
Au cours de ce processus, le programme d’installation demande un salage et un mot de passe pour le chiffrement au repos. Si un salage et un mot de passe sont spécifiés, la fonctionnalité est activée.
Une fois qu’un système a été initialisé, le chiffrement au repos peut être activé. Toutefois, l’exécution de la commande avmaint après l’initialisation affecte uniquement les bandes de données nouvellement créées et les bandes de données qui sont traitées ultérieurement.
Bien que nous puissions être sûrs que le crunching finit par se produire sur chaque bande non chiffrée, nous ne pouvons pas le garantir. Les bandes créées avant l’activation du chiffrement au repos peuvent rester non chiffrées pendant une longue période. Parfois, peut-être pour toujours.
Par exemple, il est possible qu’Avamar remplisse une bande avec des données statiques (comme les vidages MCS qui contiennent des données sensibles telles que les noms d’hôte). Si cette bande ne change jamais, elle ne fait jamais l’objet d’un nettoyage de la mémoire ou d’un traitement de la mémoire et ne sera jamais chiffrée.
Par conséquent, activez uniquement le chiffrement au repos dans le cadre du workflow d’installation.
3. Surcharge de performances liée à l’utilisation du chiffrement au repos
Une question fréquente est « Pourquoi la limite diskreadonly doit-elle être abaissée sur les systèmes configurés avec chiffrement au repos ? »
Le chiffrement et le déchiffrement de toutes les bandes stockées dans un GSAN Avamar requièrent un travail supplémentaire considérable pour les nœuds de stockage.
Les ingénieurs ont observé que la surcharge de traitement supplémentaire requise est jusqu’à 50 % supérieure à celle d’un système sur lequel le chiffrement au repos n’est pas activé.
Par conséquent, sur Avamar où le chiffrement au repos est activé, la limite diskreadonly DOIT être réduite de 65 % par défaut à 40 %. Cela signifie qu’il faut 1,5 fois plus de nœuds pour stocker la même quantité de données qu’un nœud dont les bandes ne sont pas chiffrées.
Ceci afin de s’assurer que les performances et la fiabilité acceptables sont maintenues.
4. Le chiffrement au repos peut-il être désactivé ?
Une fois que le chiffrement au repos a été activé sur un système Avamar, il ne peut pas être désactivé, seuls les sels de chiffrement peuvent être modifiés.
5. Comment démontrer que le chiffrement au repos est activé.
Sur un système Avamar sur lequel le chiffrement au repos a été activé, vous devriez voir un résultat semblable
ausuivant : avmaint nodelist --xmlperline=9999 | grep atrestencryption
Des informations similaires à ce qui suit apparaissent dans le shell de commande :
<atrestencryption-status enabled="true » nr-salts="1"/>
Where :
enabled="true » nr-salts="1 » indique que le chiffrement au repos est activé.
enabled="false » nr-salts="0 » Indique que le chiffrement au repos n’est pas activé.
Exemple:-
avmaint nodelist --xmlperline=9999 | grep atrestencryption
<atrestencryption-status enabled="true" nr-salts="1"/>
<atrestencryption-status enabled="true" nr-salts="1"/>
<atrestencryption-status enabled="true" nr-salts="1"/>
<atrestencryption-status enabled="true" nr-salts="1"/>
Sur un système où le chiffrement au repos est effectué lors de l’initialisation ou avant la création de rayures, une fois que les bandes sont créées et chiffrées, elles ne contiennent que du charabia si nous essayons de les lire à l’aide de la commande 'strings' comme précédemment.
admin@utility:/data01/cur/>: strings 0000000000000656.dat | less
p T7T5s| 1 N © M1 c]LP ,iCE ol v < #6U, ~ )XW D TU ( A: ) ~ ,t} '
3ET S _b kE l>5Q T yc ®x` `' s Kg 4g sh . 8 c! e , A M a M} kX; A 1v z
_ { !{a X JUS * nD 8+ TE2Tf S h,37 QX G * " ®u +8 ' !{+2w 6 PE
Additional Information
Foire aux questions :
Comment les systèmes Griffin (combinaison Avamar/DataDomain) doivent-ils être configurés avec cette fonctionnalité ?
Avamar et Data Domain doivent être configurés séparément avec le chiffrement au repos.
Dell EMC Data Domain Encryption - Forum Aux Questions
Le niveau de 40 % diskreadonly s’applique-t-il toujours à la dernière version du matériel Avamar Datastore ?
Les ingénieurs ont été consultés à ce sujet en septembre 2016. Le paramètre 40 % diskreadonly s’applique au matériel le plus récent (Gen4T). La gestion produit examine la demande, mais n’a pas l’intention de réévaluer la limite.
Si un client dispose d’une paire de réplication d’instances d’Avamar Server, les deux systèmes doivent-ils être configurés avec E.A.R ?
Non, chaque système est indépendant. Lorsque les données d’un système chiffré sont répliquées vers un Avamar non chiffré, le système cible crée des bandes non chiffrées.
De même, si une instance Avamar non chiffrée réplique des données sur un système chiffré, les sauvegardes sont écrites sur des bandes chiffrées.
Une fois activé, le chiffrement au repos peut-il être désactivé ?
Non. Pour ce faire, les données doivent être répliquées sur une instance d’Avamar Server où le chiffrement au repos n’est pas défini.
Si un client dispose d’une paire de réplication d’instances d’Avamar Server, les deux systèmes doivent-ils être configurés avec E.A.R ?
Non, chaque système est indépendant. Lorsque les données d’un système chiffré sont répliquées vers un Avamar non chiffré, le système cible crée des bandes non chiffrées.
De même, si une instance Avamar non chiffrée réplique des données sur un système chiffré, les sauvegardes sont écrites sur des bandes chiffrées.
Une fois activé, le chiffrement au repos peut-il être désactivé ?
Non. Pour ce faire, les données doivent être répliquées sur une instance d’Avamar Server où le chiffrement au repos n’est pas défini.
Affected Products
AvamarProducts
Avamar, Avamar ServerArticle Properties
Article Number: 000046249
Article Type: How To
Last Modified: 14 Jul 2026
Version: 6
Find answers to your questions from other Dell users
Support Services
Check if your device is covered by Support Services.