Avamar – Grundlegendes zur Funktion Encryption-at-Rest
Summary: In diesem Artikel werden Aspekte der Encryption-at-Rest-Funktion von Avamar erläutert, einschließlich des Zwecks und Hinweisen. In den internen Abschnitten dieses Artikels, der nur MitarbeiterInnen und Partnern von Dell zur Verfügung steht, wird die Konfiguration erläutert. ...
This article applies to
This article does not apply to
This article is not tied to any specific product.
Not all product versions are identified in this article.
Instructions
Der Zweck dieses Artikels besteht darin, die Verwendung von Encryption-at-Rest auf einem Avamar-Server zu erläutern.
Dies ist eine fortgeschrittene Funktion und setzt voraus, dass Sie mit regulären Avamar-Befehlen vertraut sind, die für Systemwartungs- und Supportaktivitäten verwendet werden. Fahren Sie andernfalls nicht fort. Wenden Sie sich an eine entsprechend qualifizierte Person.
Der technische Anhang zu Avamar dokumentiert den Befehl „avmaint atrestencryption“, beschreibt jedoch nicht, wie er sicher auf einem Avamar-Produktionssystem implementiert werden kann.
In diesem Artikel wird die Implementierung beschrieben und einige häufig gestellte Fragen zur Verschlüsselung ruhender Daten beantwortet.
Diese deduplizierten („atomaren“) Datenblöcke werden in .dat-Dateien geschrieben. Metadaten und Indexdaten werden in andere Stripe-Dateien (.inx, .chd, .cdt usw.) geschrieben.
Bei diesem Prozess werden die Backupdaten „geschreddert“, also in kleine Stücke zerlegt und über das System verstreut.
Obwohl keine vollständigen Dateien gelesen werden können, ist es möglich, Fragmente von Dateien anzuzeigen. Wenn wir „Strings“ auf einem Daten-Stripe ausführen, können Teile von Klartextdaten sichtbar sein.
Im Folgenden finden Sie ein Beispiel für einen Avamar mit einem einzelnen Node:
1. Welches Problem löst Encryption-at-Rest?
Encryption-at-Rest verschlüsselt die Daten-Stripes, die die Backupdaten von NutzerInnen enthalten.
Wenn jemand Avamar oder seine Festplattenlaufwerke stiehlt, müssen die Daten nach der Aktivierung entschlüsselt werden, bevor sie gelesen werden können.
Die Verschlüsselung ruhender Daten verhindert, dass sich eine Person mit Avamar-Zugriff auf Anwendungs- oder BS-Ebene beim Avamar-System anmeldet und Daten wiederherstellt. Dies ist über die Benutzeroberfläche oder durch Ausführen von avtar-Befehlen und Wiederherstellen von Dateien innerhalb des GSAN auf dem Utility-Node möglich.
2. Wann kann Encryption-at-Rest aktiviert werden?
Encryption-at-Rest kann während des Installationsworkflows aktiviert werden, sodass sie von Beginn der Lebensdauer des Avamar Servers an wirksam ist.
Während dieses Vorgangs fordert das Installationsprogramm Sie zur Eingabe von Salt und Kennwort für die Verschlüsselung im Ruhezustand auf. Wenn ein Salt und ein Kennwort angegeben werden, ist die Funktion aktiviert.
Nachdem ein System initialisiert wurde, kann Encryption-at-Rest aktiviert werden. Das Ausführen des Befehls avmaint nach der Initialisierung wirkt sich jedoch nur auf neu erstellte Daten-Stripes und Daten-Stripes aus, die später verarbeitet werden.
Obwohl wir sicher sein können, dass es irgendwann auf jedem unverschlüsselten Stripe zu Crunching kommt, können wir dies nicht garantieren. Stripes, die vor der Aktivierung von Encryption-at-Rest erstellt wurden, bleiben möglicherweise lange Zeit unverschlüsselt. In seltenen Fällen sogar für immer.
Beispielsweise besteht die Möglichkeit, dass Avamar einen Stripe mit statischen Daten füllt (z. B. MCS-Leerungen, die vertrauliche Informationen wie Hostnamen enthalten). Wenn sich dieser Stripe nie ändert, wird er nie einer automatischen Speicherbereinigung unterzogen oder verarbeitet und niemals verschlüsselt.
Aktivieren Sie daher die Verschlüsselung ruhender Daten bereits als Teil des Installationsworkflows.
3. Performance-Overhead bei Verwendung von Encryption-at-Rest
Eine häufig gestellte Frage lautet: „Warum muss das Limit für diskreadonly auf Systemen mit Encryption-at-Rest gesenkt werden?“
Die Verschlüsselung und Entschlüsselung aller in einem Avamar-GSAN gespeicherten Stripes erfordert eine große Menge an zusätzlicher Arbeit, die von Storage-Nodes durchgeführt werden muss.
Das Technikteam hat festgestellt, dass der zusätzliche erforderliche Verarbeitungsoverhead bis zu 50 % höher ist als bei einem System, auf dem Encryption-at-Rest nicht aktiviert ist.
Daher MUSS bei einem Avamar, auf dem Encryption-at-Rest aktiviert ist, das Limit für diskreadonly von den standardmäßigen 65 % auf 40 % reduziert werden. Das bedeutet, dass die 1,5-fache Anzahl an Nodes erforderlich ist, um die gleiche Datenmenge zu speichern, wie bei einem Node, dessen Stripes nicht verschlüsselt sind.
Auf diese Weise wird sichergestellt, dass eine akzeptable Leistung und Zuverlässigkeit erhalten bleiben.
4. Kann die Verschlüsselung ruhender Daten deaktiviert werden?
Sobald Encryption-at-Rest auf einem Avamar-System aktiviert wurde, kann sie nicht mehr deaktiviert, es können nur die Verschlüsselungs-Salt-Werte geändert werden.
5. So zeigen Sie, dass Encryption-at-Rest aktiviert ist.
Auf einem Avamar-System, auf dem Encryption-at-Rest aktiviert wurde, sollte eine Ausgabe ähnlich der folgenden angezeigt werden:
avmaint nodelist --xmlperline=9999 | grep atrestencryption
Informationen wie die folgenden werden mit dem Befehl „shell“ angezeigt:
<atrestencryption-status enabled="true" nr-salts="1"/>
Wobei:
enabled="true" nr-salts="1" angibt, dass die At-Rest-Verschlüsselung aktiviert ist.
enabled="false" nr-salts="0" gibt an, dass die At-Rest-Verschlüsselung nicht aktiviert ist.
Beispiel:
Dies ist eine fortgeschrittene Funktion und setzt voraus, dass Sie mit regulären Avamar-Befehlen vertraut sind, die für Systemwartungs- und Supportaktivitäten verwendet werden. Fahren Sie andernfalls nicht fort. Wenden Sie sich an eine entsprechend qualifizierte Person.
Der technische Anhang zu Avamar dokumentiert den Befehl „avmaint atrestencryption“, beschreibt jedoch nicht, wie er sicher auf einem Avamar-Produktionssystem implementiert werden kann.
In diesem Artikel wird die Implementierung beschrieben und einige häufig gestellte Fragen zur Verschlüsselung ruhender Daten beantwortet.
- Welches Problem löst Encryption-at-Rest?
- Wann kann Encryption-at-Rest aktiviert werden?
- Performance-Overhead bei Verwendung von Encryption-at-Rest
- Kann die Verschlüsselung ruhender Daten deaktiviert werden?
- Verfahren zum Aktivieren der Verschlüsselung ruhender Daten (nur für interne MitarbeiterInnen und Partner von Dell verfügbar)
- So zeigen Sie, dass Encryption-at-Rest aktiviert ist
Diese deduplizierten („atomaren“) Datenblöcke werden in .dat-Dateien geschrieben. Metadaten und Indexdaten werden in andere Stripe-Dateien (.inx, .chd, .cdt usw.) geschrieben.
Bei diesem Prozess werden die Backupdaten „geschreddert“, also in kleine Stücke zerlegt und über das System verstreut.
Obwohl keine vollständigen Dateien gelesen werden können, ist es möglich, Fragmente von Dateien anzuzeigen. Wenn wir „Strings“ auf einem Daten-Stripe ausführen, können Teile von Klartextdaten sichtbar sein.
Im Folgenden finden Sie ein Beispiel für einen Avamar mit einem einzelnen Node:
admin@utility:/data01/cur/>: strings 000000000000002E.dat
5900>: Workorder received:
<restore pid="
firm="true" ack
msgver="5"
timeout="10"
="XXXD
ath="Mailbox Database 0904743075" key
sync="fg" cd
d15696dae634d00c120b45e56d0ad2410380d945" mx
6064/776
0/33" wr
<targets>.D
tem_info/BL)
upComponentsDocument.xml
{76fe1ac4-15f7-4bcd-987e-8t
b462fb7}01
_chain
Da die Datenblöcke E-Mail-Adressen, IP-Adressen, Hostnamen oder andere vertrauliche Informationen enthalten können, wird dies von einigen als inakzeptables Sicherheitsrisiko angesehen.
1. Welches Problem löst Encryption-at-Rest?
Encryption-at-Rest verschlüsselt die Daten-Stripes, die die Backupdaten von NutzerInnen enthalten.
Wenn jemand Avamar oder seine Festplattenlaufwerke stiehlt, müssen die Daten nach der Aktivierung entschlüsselt werden, bevor sie gelesen werden können.
Die Verschlüsselung ruhender Daten verhindert, dass sich eine Person mit Avamar-Zugriff auf Anwendungs- oder BS-Ebene beim Avamar-System anmeldet und Daten wiederherstellt. Dies ist über die Benutzeroberfläche oder durch Ausführen von avtar-Befehlen und Wiederherstellen von Dateien innerhalb des GSAN auf dem Utility-Node möglich.
2. Wann kann Encryption-at-Rest aktiviert werden?
Encryption-at-Rest kann während des Installationsworkflows aktiviert werden, sodass sie von Beginn der Lebensdauer des Avamar Servers an wirksam ist.
Während dieses Vorgangs fordert das Installationsprogramm Sie zur Eingabe von Salt und Kennwort für die Verschlüsselung im Ruhezustand auf. Wenn ein Salt und ein Kennwort angegeben werden, ist die Funktion aktiviert.
Nachdem ein System initialisiert wurde, kann Encryption-at-Rest aktiviert werden. Das Ausführen des Befehls avmaint nach der Initialisierung wirkt sich jedoch nur auf neu erstellte Daten-Stripes und Daten-Stripes aus, die später verarbeitet werden.
Obwohl wir sicher sein können, dass es irgendwann auf jedem unverschlüsselten Stripe zu Crunching kommt, können wir dies nicht garantieren. Stripes, die vor der Aktivierung von Encryption-at-Rest erstellt wurden, bleiben möglicherweise lange Zeit unverschlüsselt. In seltenen Fällen sogar für immer.
Beispielsweise besteht die Möglichkeit, dass Avamar einen Stripe mit statischen Daten füllt (z. B. MCS-Leerungen, die vertrauliche Informationen wie Hostnamen enthalten). Wenn sich dieser Stripe nie ändert, wird er nie einer automatischen Speicherbereinigung unterzogen oder verarbeitet und niemals verschlüsselt.
Aktivieren Sie daher die Verschlüsselung ruhender Daten bereits als Teil des Installationsworkflows.
3. Performance-Overhead bei Verwendung von Encryption-at-Rest
Eine häufig gestellte Frage lautet: „Warum muss das Limit für diskreadonly auf Systemen mit Encryption-at-Rest gesenkt werden?“
Die Verschlüsselung und Entschlüsselung aller in einem Avamar-GSAN gespeicherten Stripes erfordert eine große Menge an zusätzlicher Arbeit, die von Storage-Nodes durchgeführt werden muss.
Das Technikteam hat festgestellt, dass der zusätzliche erforderliche Verarbeitungsoverhead bis zu 50 % höher ist als bei einem System, auf dem Encryption-at-Rest nicht aktiviert ist.
Daher MUSS bei einem Avamar, auf dem Encryption-at-Rest aktiviert ist, das Limit für diskreadonly von den standardmäßigen 65 % auf 40 % reduziert werden. Das bedeutet, dass die 1,5-fache Anzahl an Nodes erforderlich ist, um die gleiche Datenmenge zu speichern, wie bei einem Node, dessen Stripes nicht verschlüsselt sind.
Auf diese Weise wird sichergestellt, dass eine akzeptable Leistung und Zuverlässigkeit erhalten bleiben.
4. Kann die Verschlüsselung ruhender Daten deaktiviert werden?
Sobald Encryption-at-Rest auf einem Avamar-System aktiviert wurde, kann sie nicht mehr deaktiviert, es können nur die Verschlüsselungs-Salt-Werte geändert werden.
5. So zeigen Sie, dass Encryption-at-Rest aktiviert ist.
Auf einem Avamar-System, auf dem Encryption-at-Rest aktiviert wurde, sollte eine Ausgabe ähnlich der folgenden angezeigt werden:
avmaint nodelist --xmlperline=9999 | grep atrestencryption
Informationen wie die folgenden werden mit dem Befehl „shell“ angezeigt:
<atrestencryption-status enabled="true" nr-salts="1"/>
Wobei:
enabled="true" nr-salts="1" angibt, dass die At-Rest-Verschlüsselung aktiviert ist.
enabled="false" nr-salts="0" gibt an, dass die At-Rest-Verschlüsselung nicht aktiviert ist.
Beispiel:
avmaint nodelist --xmlperline=9999 | grep atrestencryption
<atrestencryption-status enabled="true" nr-salts="1"/>
<atrestencryption-status enabled="true" nr-salts="1"/>
<atrestencryption-status enabled="true" nr-salts="1"/>
<atrestencryption-status enabled="true" nr-salts="1"/>
Auf einem System, auf dem Encryption-at-Rest bei der Initialisierung oder vor der Erstellung von Stripes durchgeführt wird, enthalten die Stripes, sobald sie erstellt und verschlüsselt wurden, nur Kauderwelsch, wenn wir versuchen, sie wie zuvor mit dem Befehl „strings“ zu lesen.
admin@utility:/data01/cur/>: strings 0000000000000656.dat | less
p T7T5s| 1 N © M1 c]LP ,iCE ol v < #6U, ~ )XW D TU ( A: ) ~ ,t} '
3ET S _b kE l>5Q T yc ®x` `' s Kg 4g sh . 8 c! e , A M a M} kX; A 1v z
_ { !{a X JUS * nD 8+ TE2Tf S h,37 QX G * " ®u +8 ' !{+2w 6 PE
Additional Information
Häufig gestellte Fragen:
Wie sollten Griffin-Systeme (Kombination aus Avamar/DataDomain) mit dieser Funktion konfiguriert werden?
Sowohl Avamar als auch Data Domain sollten separat mit Encryption-at-Rest konfiguriert werden.
Dell EMC Data Domain Encryption – Häufig gestellte Fragen
Gilt der 40-%-Level von diskreadonly weiterhin für die neueste Avamar Datastore-Hardware?
Das Technikteam wurden dazu im September 2016 konsultiert. Die Einstellung „40 % diskreadonly“ gilt auch für die neueste Hardware (Gen4T). Das Produktmanagement prüft die Anfrage, es gibt jedoch keine konkreten Pläne für eine Neubewertung des Limits.
Wenn KundInnen ein replizierendes Paar von Avamar Servern verwendet, müssen dann beide Systeme mit E.A.R. konfiguriert werden?
Nein, jedes System ist unabhängig. Wenn Daten auf einem verschlüsselten System auf ein unverschlüsseltes Avamar-System repliziert werden, erstellt das Zielsystem unverschlüsselte Stripes.
Wenn ein unverschlüsseltes Avamar Daten auf ein verschlüsseltes System repliziert, werden die Backups in verschlüsselte Stripes geschrieben.
Kann die Verschlüsselung ruhender Daten nach der Aktivierung deaktiviert werden?
Nein. Dafür müssen die Daten auf einen Avamar-Server repliziert werden, auf dem Encrypt-at-Rest nicht festgelegt ist.
Wenn KundInnen ein replizierendes Paar von Avamar Servern verwendet, müssen dann beide Systeme mit E.A.R. konfiguriert werden?
Nein, jedes System ist unabhängig. Wenn Daten auf einem verschlüsselten System auf ein unverschlüsseltes Avamar-System repliziert werden, erstellt das Zielsystem unverschlüsselte Stripes.
Wenn ein unverschlüsseltes Avamar Daten auf ein verschlüsseltes System repliziert, werden die Backups in verschlüsselte Stripes geschrieben.
Kann die Verschlüsselung ruhender Daten nach der Aktivierung deaktiviert werden?
Nein. Dafür müssen die Daten auf einen Avamar-Server repliziert werden, auf dem Encrypt-at-Rest nicht festgelegt ist.
Affected Products
AvamarProducts
Avamar, Avamar ServerArticle Properties
Article Number: 000046249
Article Type: How To
Last Modified: 10 Feb 2025
Version: 5
Find answers to your questions from other Dell users
Support Services
Check if your device is covered by Support Services.