Avamar - 瞭解待用加密功能
Summary: 本文討論 Avamar 的待用加密功能的各個方面，包括其目的和注意事項。本文的內部部分 (僅適用於 Dell 員工和合作夥伴) 說明如何進行設定。
This article applies to
This article does not apply to
This article is not tied to any specific product.
Not all product versions are identified in this article.
Instructions
本文的目的是討論在 Avamar Server 上對於待用加密的使用。
這是一項進階功能，假定您具有用於系統維護和支援活動的一般 Avamar 命令經驗。否則，請勿繼續。請諮詢具有適當技能的人員。
Avamar 技術附錄記錄了「avmaint atrestencryption」命令，但沒有說明如何在生產 Avamar 系統上安全地實作。
本文說明該實作方法，並回答與待用加密相關的一些常見問題。
這些複寫的 (「atomic」) 資料區塊會寫入至 .dat 檔案。中繼資料和索引資料會寫入至其他等量檔案 (.inx、.chd、.cdt 等)。
此程序會「粉碎」備份資料，資料會分解成小塊並分散到整個系統中。
雖然無法讀取整個檔案，但可以檢視檔案片段。如果我們在資料等量上執行「strings」，則可能會看到純文字資料片段。
以下是單一節點 Avamar 中的範例：
1.待用加密能解決什麼問題？
待用加密會對包含使用者備份資料的資料等量進行加密。
啟用後，若有人竊取了 Avamar 或其磁碟機，他們必須先解密資料才能讀取資料。
待用加密確實可以防止具有 Avamar 應用程式或作業系統等級存取權限的人登入 Avamar 系統並還原資料。這可以使用 UI 或執行 avtar 命令，並將 GSAN 內的檔案還原至工具節點來完成。
2.何時可以啟用待用加密？
可在安裝工作流程期間啟用待用加密，使其從 Avamar Server 的生命週期開始時生效。
在此程序期間，安裝程式會提示輸入鹽值和密碼以進行待用加密。如果指定了鹽值和密碼，便會啟用功能。
系統初始化後，即可啟用待用加密。但是，在初始化後執行 avmaint 命令，只會影響新建立的資料等量和稍後壓碎的資料等量。
儘管我們可以確信每個未加密的等量上最終都會進行壓碎處理，但我們無法保證這一點。在啟用待用加密之前建立的等量可能會保持長時間未加密。有時，可能會永遠保持未加密。
例如，Avamar 可能會用靜態資料 (例如包含主機名稱等敏感資訊的 MCS 排清) 填滿等量。 如果該等量永遠不會改變，它永遠不會受到垃圾收集或壓碎，也永遠不會受到加密。
因此，請僅將待用加密啟用為安裝工作流程中的一部分。
3.使用待用加密的效能負荷
有一個常見的問題是，「為什麼必須在設定待用加密的系統上降低 diskreadonly 限制？」
要加密和解密儲存在 Avamar GSAN 中的所有等量，需要儲存節點執行大量的額外工作。
工程部門觀察到，與未啟用待用加密的系統相比，所需的額外處理負荷多出高達 50%。
因此，在啟用了待用加密的 Avamar 上，diskreadonly 限制必須從預設的 65% 降低至 40%。這表示需要 1.5 倍的節點數量，才能儲存與等量未加密的資料相同的資料量。
這是為了確保維持可接受的效能和可靠性。
4.是否可以停用待用加密？
在 Avamar 系統上啟用待用加密後，即無法停用，只能變更加密鹽值。
5.如何示範待用加密已啟用
在已啟用待用加密的 Avamar 系統上，您應該會看到類似以下的輸出
avmaint nodelist --xmlperline=9999 | grep atrestencryption
命令 shell 中會顯示類似以下的資訊：
<atrestencryption-status enabled="true" nr-salts="1"/>
其中：
enabled="true" nr-salts="1" 表示已啟用待用加密。
enabled="false" nr-salts="0" 表示未啟用待用加密。
範例：-
這是一項進階功能，假定您具有用於系統維護和支援活動的一般 Avamar 命令經驗。否則，請勿繼續。請諮詢具有適當技能的人員。
Avamar 技術附錄記錄了「avmaint atrestencryption」命令，但沒有說明如何在生產 Avamar 系統上安全地實作。
本文說明該實作方法，並回答與待用加密相關的一些常見問題。
- 待用加密能解決什麼問題？
- 何時可以啟用待用加密？
- 使用待用加密的效能負荷
- 是否可以停用待用加密？
- 啟用待用加密的程序 (僅適用於 Dell 內部員工和合作夥伴)
- 如何示範待用加密已啟用
這些複寫的 (「atomic」) 資料區塊會寫入至 .dat 檔案。中繼資料和索引資料會寫入至其他等量檔案 (.inx、.chd、.cdt 等)。
此程序會「粉碎」備份資料，資料會分解成小塊並分散到整個系統中。
雖然無法讀取整個檔案，但可以檢視檔案片段。如果我們在資料等量上執行「strings」，則可能會看到純文字資料片段。
以下是單一節點 Avamar 中的範例：
admin@utility:/data01/cur/>: strings 000000000000002E.dat
5900>: Workorder received:
<restore pid="
firm="true" ack
msgver="5"
timeout="10"
="XXXD
ath="Mailbox Database 0904743075" key
sync="fg" cd
d15696dae634d00c120b45e56d0ad2410380d945" mx
6064/776
0/33" wr
<targets>.D
tem_info/BL)
upComponentsDocument.xml
{76fe1ac4-15f7-4bcd-987e-8t
b462fb7}01
_chain
由於資料區塊可能包含電子郵件地址、IP 位址、主機名稱或其他敏感資訊，因此有些人認為這是一種不可接受的安全風險。
1.待用加密能解決什麼問題？
待用加密會對包含使用者備份資料的資料等量進行加密。
啟用後，若有人竊取了 Avamar 或其磁碟機，他們必須先解密資料才能讀取資料。
待用加密確實可以防止具有 Avamar 應用程式或作業系統等級存取權限的人登入 Avamar 系統並還原資料。這可以使用 UI 或執行 avtar 命令，並將 GSAN 內的檔案還原至工具節點來完成。
2.何時可以啟用待用加密？
可在安裝工作流程期間啟用待用加密，使其從 Avamar Server 的生命週期開始時生效。
在此程序期間，安裝程式會提示輸入鹽值和密碼以進行待用加密。如果指定了鹽值和密碼，便會啟用功能。
系統初始化後，即可啟用待用加密。但是，在初始化後執行 avmaint 命令，只會影響新建立的資料等量和稍後壓碎的資料等量。
儘管我們可以確信每個未加密的等量上最終都會進行壓碎處理，但我們無法保證這一點。在啟用待用加密之前建立的等量可能會保持長時間未加密。有時，可能會永遠保持未加密。
例如，Avamar 可能會用靜態資料 (例如包含主機名稱等敏感資訊的 MCS 排清) 填滿等量。 如果該等量永遠不會改變，它永遠不會受到垃圾收集或壓碎，也永遠不會受到加密。
因此，請僅將待用加密啟用為安裝工作流程中的一部分。
3.使用待用加密的效能負荷
有一個常見的問題是，「為什麼必須在設定待用加密的系統上降低 diskreadonly 限制？」
要加密和解密儲存在 Avamar GSAN 中的所有等量，需要儲存節點執行大量的額外工作。
工程部門觀察到，與未啟用待用加密的系統相比，所需的額外處理負荷多出高達 50%。
因此，在啟用了待用加密的 Avamar 上，diskreadonly 限制必須從預設的 65% 降低至 40%。這表示需要 1.5 倍的節點數量，才能儲存與等量未加密的資料相同的資料量。
這是為了確保維持可接受的效能和可靠性。
4.是否可以停用待用加密？
在 Avamar 系統上啟用待用加密後，即無法停用，只能變更加密鹽值。
5.如何示範待用加密已啟用
在已啟用待用加密的 Avamar 系統上，您應該會看到類似以下的輸出
avmaint nodelist --xmlperline=9999 | grep atrestencryption
命令 shell 中會顯示類似以下的資訊：
<atrestencryption-status enabled="true" nr-salts="1"/>
其中：
enabled="true" nr-salts="1" 表示已啟用待用加密。
enabled="false" nr-salts="0" 表示未啟用待用加密。
範例：-
avmaint nodelist --xmlperline=9999 | grep atrestencryption
<atrestencryption-status enabled="true" nr-salts="1"/>
<atrestencryption-status enabled="true" nr-salts="1"/>
<atrestencryption-status enabled="true" nr-salts="1"/>
<atrestencryption-status enabled="true" nr-salts="1"/>
在初始化時或建立任何等量之前執行待用加密的系統上，當建立並加密等量之後，如果我們嘗試像以前一樣使用「strings」命令讀取等量，它們就只包含亂碼。
admin@utility:/data01/cur/>: strings 0000000000000656.dat | less
p T7T5s| 1 N © M1 c]LP ,iCE ol v < #6U, ~ )XW D TU ( A: ) ~ ,t} '
3ET S _b kE l>5Q T yc ®x` `' s Kg 4g sh . 8 c! e , A M a M} kX; A 1v z
_ { !{a X JUS * nD 8+ TE2Tf S h,37 QX G * " ®u +8 ' !{+2w 6 PE
Additional Information
常見問題：
Griffin 系統 (Avamar/DataDomain 組合) 應如何設定此功能？
Avamar 和 Data Domain 皆應分別設定待用加密。
Dell EMC Data Domain Encryption - 常見問題
40% diskreadonly 等級是否仍適用於最新的 Avamar 資料存放區硬體？
工程部門於 2016 年 9 月就此問題接受了諮詢。40% diskreadonly 設定適用於最新的硬體 (Gen4T)。產品管理部門正在考慮此要求，但沒有重新評估限制的計畫。
如果客戶有一對複寫的 Avamar Server，兩個系統是否都必須設定 E.A.R？
否，每個系統都是獨立的。將加密系統上的資料複寫到未加密的 Avamar 時，目標系統會建立未加密的等量。
同樣地，如果未加密的 Avamar 將資料複寫到加密的系統，備份會寫入至加密的等量。
啟用後，是否可以停用待用加密？
否。若要達到此目的，必須將資料複寫到未設定待用加密的 Avamar Server。
如果客戶有一對複寫的 Avamar Server，兩個系統是否都必須設定 E.A.R？
否，每個系統都是獨立的。將加密系統上的資料複寫到未加密的 Avamar 時，目標系統會建立未加密的等量。
同樣地，如果未加密的 Avamar 將資料複寫到加密的系統，備份會寫入至加密的等量。
啟用後，是否可以停用待用加密？
否。若要達到此目的，必須將資料複寫到未設定待用加密的 Avamar Server。
Affected Products
AvamarProducts
Avamar, Avamar ServerArticle Properties
Article Number: 000046249
Article Type: How To
Last Modified: 10 Feb 2025
Version: 5
Find answers to your questions from other Dell users
Support Services
Check if your device is covered by Support Services.