Avamar: Comprensión de la funcionalidad de cifrado en reposo
Summary: En este artículo, se analizan aspectos de la funcionalidad de cifrado en reposo de Avamar, incluidos su propósito y advertencias. En las secciones internas de este artículo, que solo está disponible para el personal y los partners de Dell, se explica cómo configurarlo. ...
This article applies to
This article does not apply to
This article is not tied to any specific product.
Not all product versions are identified in this article.
Instructions
El propósito de este artículo es analizar el uso del cifrado en reposo en un Avamar Server.
Esta es una función avanzada y supone que tiene experiencia con los comandos regulares de Avamar que se utilizan para las actividades de mantenimiento y soporte del sistema. De lo contrario, no continúe. Consulte a una persona debidamente capacitada.
En el Apéndice técnico de Avamar, se documenta lo siguiente: "avmaint atrestencryption" pero no se describe cómo implementarlo de manera segura en un sistema Avamar de producción.
En este artículo, se describe la implementación y se responden algunas preguntas comunes relacionadas con el cifrado en reposo.
- ¿Qué problema resuelve el cifrado en reposo?
- ¿Cuándo se puede habilitar el cifrado en reposo?
- Sobrecarga de rendimiento debido al uso del cifrado en reposo
- ¿Se puede deshabilitar el cifrado en reposo?
- Procedimiento para habilitar el cifrado en reposo (disponible solo para partners y personal interno de Dell)
- Cómo demostrar que el cifrado en reposo está habilitado
Durante el proceso de respaldo de Avamar, los datos se escriben en los nodos de datos de Avamar en /data01/cur.
Estos fragmentos de datos desduplicados ("atómicos") se escriben en .dat Archivo: Los metadatos y los datos de índice se escriben en otros archivos de sección (.inx, .chd, .cdt y así sucesivamente).
Este proceso "destruye" los datos de respaldo, ya que se dividen en partes pequeñas y se dispersan por todo el sistema.
Aunque no se pueden leer archivos completos, es posible ver fragmentos de archivos. Si ejecutamos 'strings' en una franja de datos, es posible que se vean fragmentos de datos de texto sin formato.
A continuación, se muestra un ejemplo de un Avamar de nodo único:
admin@utility:/data01/cur/>: strings 000000000000002E.dat
5900>: Workorder received:
<restore pid="
firm="true" ack
msgver="5"
timeout="10"
="XXXD
ath="Mailbox Database 0904743075" key
sync="fg" cd
d15696dae634d00c120b45e56d0ad2410380d945" mx
6064/776
0/33" wr
<targets>.D
tem_info/BL)
upComponentsDocument.xml
{76fe1ac4-15f7-4bcd-987e-8t
b462fb7}01
_chain
Dado que los fragmentos de datos pueden contener direcciones de correo electrónico, direcciones IP, nombres de host u otra información confidencial, algunos consideran que esto es un riesgo de seguridad inaceptable.
1. ¿Qué problema resuelve el cifrado en reposo?
El cifrado en reposo cifra las fracciones de datos que contienen los datos de respaldo del usuario.
Una vez habilitada, si alguien robaba Avamar o sus unidades de disco, tendría que descifrar los datos antes de que pudieran leerse.
El cifrado en reposo evita que alguien con acceso a la aplicación Avamar o al nivel del sistema operativo inicie sesión en el sistema Avamar y restaure los datos. Esto es posible mediante la interfaz del usuario o mediante la ejecución de avtar comandos y la restauración de archivos dentro de la GSAN al nodo de utilidad.
2. ¿Cuándo se puede habilitar el cifrado en reposo?
El cifrado en reposo se puede habilitar durante el flujo de trabajo de instalación para que esté vigente desde el comienzo de la vida útil del servidor Avamar.
Durante este proceso, el instalador solicita una sal y una contraseña para el cifrado en reposo. Si se especifican una sal y una contraseña, la función está activada.
Después de inicializar un sistema, se puede habilitar el cifrado en reposo. Sin embargo, si se ejecuta el comando
avmaint El comando después de la inicialización afecta solo a las franjas de datos recién creadas y a las franjas de datos que luego se procesan.
Aunque podemos estar seguros de que el procesamiento se producirá finalmente en todas las bandas no cifradas, no podemos garantizarlo. Es posible que las secciones creadas antes de la habilitación del cifrado en reposo permanezcan sin cifrar durante mucho tiempo. A veces, posiblemente para siempre.
Por ejemplo, existe la posibilidad de que Avamar pueda llenar una franja con datos estáticos (como vaciados de MCS que contienen información confidencial, como nombres de host). Si esa franja nunca cambia, nunca se somete a la recolección o el procesamiento de elementos no utilizados y nunca se cifrará.
Por lo tanto, habilite el cifrado en reposo solo como parte del flujo de trabajo de instalación.
3. Sobrecarga de rendimiento debido al uso del cifrado en reposo
Una pregunta común es "¿Por qué debe el
diskreadonly ¿Se reducirá el límite en los sistemas configurados con cifrado en reposo?"
El cifrado y descifrado de todas las secciones almacenadas en una Avamar GSAN requiere que los nodos de almacenamiento realicen una gran cantidad de trabajo adicional.
El equipo de ingeniería ha observado que la sobrecarga de procesamiento adicional requerida es hasta un 50 % mayor que en un sistema en el que el cifrado en reposo no está habilitado.
Por lo tanto, en Avamar, donde el cifrado en reposo está habilitado,
diskreadonly El límite DEBE reducirse del 65 % predeterminado al 40 %. Esto significa que se requiere 1,5 veces la cantidad de nodos para almacenar la misma cantidad de datos que uno cuyas fracciones no están cifradas.
Esto es con el fin de garantizar que se mantenga un rendimiento aceptable y la confiabilidad.
4. ¿Se puede deshabilitar el cifrado en reposo?
Una vez que el cifrado en reposo se ha habilitado en un sistema Avamar, no se puede deshabilitar, solo se pueden cambiar las sales de cifrado.
5. Cómo demostrar que el cifrado en reposo está habilitado.
En un sistema Avamar en el que se haya habilitado el cifrado en reposo, debería ver un resultado similar al siguiente:
avmaint nodelist --xmlperline=9999 | grep atrestencryption
El shell de comandos mostrará datos similares a los siguientes:
<atrestencryption-status enabled="true" nr-salts="1"/>
Donde:
enabled="true" nr-salts="1" Indica que el cifrado en reposo está activado.
enabled="false" nr-salts="0" Indica que el cifrado en reposo no está activado.
Ejemplo:-
avmaint nodelist --xmlperline=9999 | grep atrestencryption
<atrestencryption-status enabled="true" nr-salts="1"/>
<atrestencryption-status enabled="true" nr-salts="1"/>
<atrestencryption-status enabled="true" nr-salts="1"/>
<atrestencryption-status enabled="true" nr-salts="1"/>
En un sistema en el que el cifrado en reposo se realiza en la inicialización o antes de que se creen las secciones, una vez que se crean y cifran las secciones, solo contienen galimatías si intentamos leerlas usando el comando "strings" como antes.
admin@utility:/data01/cur/>: strings 0000000000000656.dat | less
p T7T5s| 1 N © M1 c]LP ,iCE ol v < #6U, ~ )XW D TU ( A: ) ~ ,t} '
3ET S _b kE l>5Q T yc ®x` `' s Kg 4g sh . 8 c! e , A M a M} kX; A 1v z
_ { !{a X JUS * nD 8+ TE2Tf S h,37 QX G * " ®u +8 ' !{+2w 6 PE
Additional Information
Preguntas frecuentes:
¿Cómo se deben configurar los sistemas Griffin (combinación de Avamar/Data Domain) con la característica?
Avamar y Data Domain se deben configurar con cifrado en reposo por separado.
Dell EMC Data Domain Encryption: preguntas
frecuentesEs el 40 % diskreadonly nivel que sigue siendo aplicable al hardware más reciente de Avamar Datastore?
En septiembre de 2016 se consultó al equipo de ingeniería al respecto. El 40%
Si un cliente tiene un par de servidores Avamar de replicación, ¿se deben configurar ambos sistemas con E.A.R?
No, cada sistema es independiente. Cuando los datos de un sistema cifrado se replican en un Avamar sin cifrar, el sistema de destino crea franjas sin cifrar.
De manera similar, si un Avamar no cifrado replica datos a un sistema cifrado, los respaldos se escriben en fracciones cifradas.
Una vez habilitado, ¿se puede deshabilitar el cifrado en reposo?
No. Para lograr esto, los datos se deben replicar en un servidor Avamar en el que no esté configurado el cifrado en reposo.
diskreadonly se aplica al hardware más reciente (Gen4T). El equipo de administración de productos está considerando la solicitud, pero no tiene planes de volver a evaluar el límite.
Si un cliente tiene un par de servidores Avamar de replicación, ¿se deben configurar ambos sistemas con E.A.R?
No, cada sistema es independiente. Cuando los datos de un sistema cifrado se replican en un Avamar sin cifrar, el sistema de destino crea franjas sin cifrar.
De manera similar, si un Avamar no cifrado replica datos a un sistema cifrado, los respaldos se escriben en fracciones cifradas.
Una vez habilitado, ¿se puede deshabilitar el cifrado en reposo?
No. Para lograr esto, los datos se deben replicar en un servidor Avamar en el que no esté configurado el cifrado en reposo.
Affected Products
AvamarProducts
Avamar, Avamar ServerArticle Properties
Article Number: 000046249
Article Type: How To
Last Modified: 09 Sep 2026
Version: 7
Find answers to your questions from other Dell users
Support Services
Check if your device is covered by Support Services.