Avamar: Verwalten von Sitzungssicherheitseinstellungen über die CLI

Vorabprüfungen

Es wird empfohlen, die folgenden Schritte durchzuführen, bevor Sie die Einstellungen für die Sitzungssicherheit ändern.

• Beenden Sie alle Backups und Replikationen und stellen Sie sicher, dass keine Wartung ausgeführt wird (Prüfpunkt/hfscheck/Garbage Collection).
• Überprüfen Sie, ob ein gültiger Prüfpunkt auf Avamar verfügbar ist.

Übersicht

Das folgende, auf jedem Avamar-Server installierte Skript wird verwendet, um die Einstellungen für die Sitzungssicherheit zu managen.
Führen Sie das Skript als Root-Nutzer aus.

enable_secure_config.sh

Zeigen Sie die aktuellen Einstellungen an:

enable_secure_config.sh --showconfig

Current Session Security Settings
----------------------------------
"encrypt_server_authenticate"                           ="false"
"secure_agent_feature_on"                               ="false"
"session_ticket_feature_on"                             ="false"
"secure_agents_mode"                                    ="unsecure_only"
"secure_st_mode"                                        ="unsecure_only"
"secure_dd_feature_on"                                  ="false"
"verifypeer"                                            ="no"

Client and Server Communication set to Default (Workflow Re-Run) mode with No Authentication.
Client Agent and Management Server Communication set to unsecure_only mode.
Secure Data Domain Feature is Disabled.

Im obigen Beispiel ist die Sitzungssicherheit deaktiviert.

Es gibt vier mögliche unterstützte Konfigurationen:

1. Deaktiviert
2. Gemischt – Einzel
3. Authentifiziert – Single
4. Authentifiziert – Dual

Deaktiviert

Die folgende Ausgabe zeigt die Einstellungen für den deaktivierten Modus.

Befehl:

enable_secure_config.sh --showconfig

Ausgabe:

Current Session Security Settings
----------------------------------
"encrypt_server_authenticate"                           ="false"
"secure_agent_feature_on"                               ="false"
"session_ticket_feature_on"                             ="false"
"secure_agents_mode"                                    ="unsecure_only"
"secure_st_mode"                                        ="unsecure_only"
"secure_dd_feature_on"                                  ="false"
"verifypeer"                                            ="no"

Client and Server Communication set to Default (Workflow Re-Run) mode with No Authentication.
Client Agent and Management Server Communication set to unsecure_only mode.
Secure Data Domain Feature is Disabled.

So legen Sie die Einstellungen für die Sitzungssicherheit auf "disabled" fest:

Befehl:

enable_secure_config.sh --enable-all --undo

Ausgabe:

#########################  #########################
#########################  #########################
Disabling Avamar Security Features
Editing /usr/local/avamar/var/mc/server_data/prefs/mcserver.xml
Restart MCS for security features changes to take effect.
INFO: Administrator Server ping successful.
Setting Mutual server/client authentication
Editing /usr/local/avamar/var/mc/server_data/prefs/mcserver.xml

Done

Wenn sich die Einstellungen geändert haben, muss MCS neu gestartet werden.


Gemischt – Einzel

Die folgende Ausgabe zeigt die Einstellungen für den gemischten Einzelmodus.

Befehl:

enable_secure_config.sh --showconfig

Ausgabe:

Current Session Security Settings
----------------------------------
"encrypt_server_authenticate"                           ="true"
"secure_agent_feature_on"                               ="true"
"session_ticket_feature_on"                             ="true"
"secure_agents_mode"                                    ="mixed"
"secure_st_mode"                                        ="mixed"
"secure_dd_feature_on"                                  ="true"
"verifypeer"                                            ="no"

Client and Server Communication set to Mixed mode with One-Way/Single Authentication.
Client Agent and Management Server Communication set to mixed mode.
Secure Data Domain Feature is Enabled.

So legen Sie die Sitzungssicherheitseinstellungen auf "Mixed-Single:

Command" fest:

enable_secure_config.sh --enable-all

Ausgabe:

#########################  #########################
#########################  #########################
Enabling Avamar Security Features

Editing /usr/local/avamar/var/mc/server_data/prefs/mcserver.xml
Restart MCS for security features changes to take effect.
INFO: Administrator Server ping successful.
Setting Mutual server/client authentication
Editing /usr/local/avamar/var/mc/server_data/prefs/mcserver.xml

Done

Befehl:

avmaint config --ava verifypeer=no

Ausgabe:

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<gsanconfig verifypeer="yes"/>

Wenn sich die Einstellungen geändert haben, muss MCS neu gestartet werden.


Authentifiziert – Single

Die folgende Ausgabe zeigt die Einstellungen für den authentifizierten Einzelmodus.

Befehl:

enable_secure_config.sh --showconfig

Ausgabe:

Current Session Security Settings
----------------------------------
"encrypt_server_authenticate"                           ="true"
"secure_agent_feature_on"                               ="true"
"session_ticket_feature_on"                             ="true"
"secure_agents_mode"                                    ="secure_only"
"secure_st_mode"                                        ="secure_only"
"secure_dd_feature_on"                                  ="true"
"verifypeer"                                            ="no"

Client and Server Communication set to Authenticated mode with One-Way/Single Authentication.
Client Agent and Management Server Communication set to secure_only mode.
Secure Data Domain Feature is Enabled.

So legen Sie die Sitzungssicherheitseinstellungen auf "Authenticated-Single:Command"

fest:

enable_secure_config.sh --enable-secure-all

Ausgabe:

#########################  #########################
#########################  #########################
Enabling Avamar Security Features

Editing /usr/local/avamar/var/mc/server_data/prefs/mcserver.xml
Restart MCS for security features changes to take effect.
INFO: Administrator Server ping successful.
Setting Mutual server/client authentication
Editing /usr/local/avamar/var/mc/server_data/prefs/mcserver.xml

Done

Befehl:

avmaint config --ava verifypeer=no

Ausgabe:

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<gsanconfig verifypeer="yes"/>

Wenn sich die Einstellungen geändert haben, muss MCS neu gestartet werden.


Authentifiziert – Dual

Die folgende Ausgabe zeigt die Einstellungen für den authentifizierten dualen Modus.

Befehl:

enable_secure_config.sh --showconfig

Ausgabe:

Current Session Security Settings
----------------------------------
"encrypt_server_authenticate"                           ="true"
"secure_agent_feature_on"                               ="true"
"session_ticket_feature_on"                             ="true"
"secure_agents_mode"                                    ="secure_only"
"secure_st_mode"                                        ="secure_only"
"secure_dd_feature_on"                                  ="true"
"verifypeer"                                            ="yes"

Client and Server Communication set to Authenticated mode with Two-Way/Dual Authentication.
Client Agent and Management Server Communication set to secure_only mode.
Secure Data Domain Feature is Enabled.

So legen Sie die Sitzungssicherheitseinstellungen auf "Authenticated-Dual:

Command" fest:

enable_secure_config.sh --enable-secure-all

Ausgabe:

#########################  #########################
#########################  #########################
Enabling Avamar Security Features

Editing /usr/local/avamar/var/mc/server_data/prefs/mcserver.xml
Restart MCS for security features changes to take effect.
INFO: Administrator Server ping successful.
Setting Mutual server/client authentication
Editing /usr/local/avamar/var/mc/server_data/prefs/mcserver.xml

Done

Wenn sich die Einstellungen geändert haben, muss MCS neu gestartet werden.


Hinweis

Verwenden Sie die folgenden Befehle, um MCS und den Backupplaner als Admin-Nutzer neu zu starten:

mcserver.sh --restart --force
dpnctl start sched