Avamar：保存データの暗号化機能について
Summary: この記事では、目的や注意事項など、Avamarの保存データの暗号化機能の側面について説明します。この記事の内部セクション（Dellのスタッフとパートナーのみが利用可）では、その設定方法について説明します。
This article applies to
This article does not apply to
This article is not tied to any specific product.
Not all product versions are identified in this article.
Instructions
この記事の目的は、Avamar Serverでの保存データの暗号化の使用について説明することです。
これは高度な機能であり、読者にシステム メンテナンスおよびサポート アクティビティーに使用される通常のAvamarコマンドの使用経験があることを前提としています。それ以外の場合は、続行しないでください。適切なスキルを持った担当者に相談してください。
Avamar技術補遺には、「avmaint atrestencryption」コマンドについて記載されていますが、本番Avamarシステムに安全に実装する方法については説明していません。
この記事では、実装について説明し、保存データの暗号化に関連するいくつかの一般的な質問に回答します。
これらの重複排除された（「アトミック」）データ チャンクは、.datファイルに書き込まれます。メタデータとインデックス データは、他のストライプ ファイル（.inx、.chd、.cdtなど）に書き込まれます。
バックアップ データは細かく分割され、システム全体に散らばっているため、このプロセスではバックアップ データが「シュレッダー処理」されます。
ファイル全体を読み取ることはできませんが、ファイルの断片を表示することは可能です。データ ストライプで「strings」を実行すると、プレーン テキスト データの一部が表示される場合があります。
以下は、シングル ノードAvamarの例です。
1.保存データの暗号化はどのような問題を解決しますか？
保存データの暗号化は、ユーザー バックアップ データを含むデータ ストライプを暗号化します。
有効にすると、Avamarまたはそのディスク ドライブが盗まれた場合、データは読み取られる前に復号化される必要があります。
保存データの暗号化は、AvamarアプリケーションまたはOSレベルのアクセス権を持つユーザーが、Avamarシステムにログインしてデータをリストアすることを防ぎます。これは、UIを使用するか、avtarコマンドを実行してGSAN内のファイルをユーティリティー ノードにリストアすることによって可能です。
2.保存データの暗号化はいつ有効にできますか？
Avamar Serverのライフサイクルの最初から有効になるように、保存データの暗号化はインストール ワークフロー中に有効にできます。
このプロセス中に、インストーラーで、保存データの暗号化のソルトとパスワードの入力が求められます。ソルトとパスワードが指定された場合、この機能は有効になります。
システムを初期化したら、保存データの暗号化を有効にすることができます。ただし、初期化後にavmaintコマンドを実行しても、新しく作成されたデータ ストライプや、それより後に処理されるデータ ストライプにのみ影響します。
最終的には暗号化されていないすべてのストライプが処理されることを確信できますが、保証はありません。保存データの暗号化が有効になる前に作成されたストライプは、長期間にわたって暗号化されない状態になる可能性があります。場合によっては、永続的に暗号化されない状態になることもあります。
たとえば、Avamarによってストライプが静的データでいっぱいになる可能性があります（ホスト名などの機密情報を含むMCSフラッシュなど）。 このストライプが変更されなければ、ガベージ コレクションや処理は行われず、暗号化されることもありません。
したがって、保存データの暗号化は、インストール ワークフローの一部としてのみ有効にしてください。
3.保存データの暗号化の使用によるパフォーマンス オーバーヘッド
保存データの暗号化が設定されたシステムでdiskreadonlyの制限を下げる必要がある理由は、よくある質問です。
Avamar GSANに格納されているすべてのストライプを暗号化および復号化するには、ストレージ ノードは大量の追加作業を実行する必要があります。
エンジニアリング チームでは、必要な追加の処理オーバーヘッドは、保存データの暗号化が有効になっていないシステムよりも最大50%大きくなることを確認しています。
したがって、保存データの暗号化が有効になっているAvamarでは、diskreadonlyの制限をデフォルトの65%から40%に減らす必要があります。つまり、ストライプが暗号化されていないノードと同じ量のデータを格納するには、1.5倍のノード数が必要になります。
これは、許容できるパフォーマンスと信頼性が維持されるようにするためです。
4.保存データの暗号化を無効にすることはできますか？
Avamarシステムで一度保存データの暗号化を有効にすると、無効にすることはできません。暗号化ソルトを変更できるだけです。
5.保存データの暗号化が有効になっていることを実証する方法
保存データの暗号化が有効になっているAvamarシステムでは、次のような出力が表示されます。
avmaint nodelist --xmlperline=9999 | grep atrestencryption
次のような出力が、コマンド シェルに表示されます。
<atrestencryption-status enabled="true" nr-salts="1"/>
ここで、
enabled="true" nr-salts="1"は、保存データの暗号化が有効になっていることを示します。
enabled="false" nr-salts="0"は、保存データの暗号化が有効になっていないことを示します。
例：
これは高度な機能であり、読者にシステム メンテナンスおよびサポート アクティビティーに使用される通常のAvamarコマンドの使用経験があることを前提としています。それ以外の場合は、続行しないでください。適切なスキルを持った担当者に相談してください。
Avamar技術補遺には、「avmaint atrestencryption」コマンドについて記載されていますが、本番Avamarシステムに安全に実装する方法については説明していません。
この記事では、実装について説明し、保存データの暗号化に関連するいくつかの一般的な質問に回答します。
- 保存データの暗号化はどのような問題を解決しますか？
- 保存データの暗号化はいつ有効にできますか？
- 保存データの暗号化の使用によるパフォーマンス オーバーヘッド
- 保存データの暗号化を無効にすることはできますか？
- 保存データの暗号化を有効にする手順（Dell社内スタッフとパートナーのみが使用可能）
- 保存データの暗号化が有効であることを示す方法
これらの重複排除された（「アトミック」）データ チャンクは、.datファイルに書き込まれます。メタデータとインデックス データは、他のストライプ ファイル（.inx、.chd、.cdtなど）に書き込まれます。
バックアップ データは細かく分割され、システム全体に散らばっているため、このプロセスではバックアップ データが「シュレッダー処理」されます。
ファイル全体を読み取ることはできませんが、ファイルの断片を表示することは可能です。データ ストライプで「strings」を実行すると、プレーン テキスト データの一部が表示される場合があります。
以下は、シングル ノードAvamarの例です。
admin@utility:/data01/cur/>: strings 000000000000002E.dat
5900>: Workorder received:
<restore pid="
firm="true" ack
msgver="5"
timeout="10"
="XXXD
ath="Mailbox Database 0904743075" key
sync="fg" cd
d15696dae634d00c120b45e56d0ad2410380d945" mx
6064/776
0/33" wr
<targets>.D
tem_info/BL)
upComponentsDocument.xml
{76fe1ac4-15f7-4bcd-987e-8t
b462fb7}01
_chain
データ チャンクにはメール アドレス、IPアドレス、ホスト名などの機密情報が含まれている可能性があるため、これを許容できないセキュリティ リスクと見なす人もいます。
1.保存データの暗号化はどのような問題を解決しますか？
保存データの暗号化は、ユーザー バックアップ データを含むデータ ストライプを暗号化します。
有効にすると、Avamarまたはそのディスク ドライブが盗まれた場合、データは読み取られる前に復号化される必要があります。
保存データの暗号化は、AvamarアプリケーションまたはOSレベルのアクセス権を持つユーザーが、Avamarシステムにログインしてデータをリストアすることを防ぎます。これは、UIを使用するか、avtarコマンドを実行してGSAN内のファイルをユーティリティー ノードにリストアすることによって可能です。
2.保存データの暗号化はいつ有効にできますか？
Avamar Serverのライフサイクルの最初から有効になるように、保存データの暗号化はインストール ワークフロー中に有効にできます。
このプロセス中に、インストーラーで、保存データの暗号化のソルトとパスワードの入力が求められます。ソルトとパスワードが指定された場合、この機能は有効になります。
システムを初期化したら、保存データの暗号化を有効にすることができます。ただし、初期化後にavmaintコマンドを実行しても、新しく作成されたデータ ストライプや、それより後に処理されるデータ ストライプにのみ影響します。
最終的には暗号化されていないすべてのストライプが処理されることを確信できますが、保証はありません。保存データの暗号化が有効になる前に作成されたストライプは、長期間にわたって暗号化されない状態になる可能性があります。場合によっては、永続的に暗号化されない状態になることもあります。
たとえば、Avamarによってストライプが静的データでいっぱいになる可能性があります（ホスト名などの機密情報を含むMCSフラッシュなど）。 このストライプが変更されなければ、ガベージ コレクションや処理は行われず、暗号化されることもありません。
したがって、保存データの暗号化は、インストール ワークフローの一部としてのみ有効にしてください。
3.保存データの暗号化の使用によるパフォーマンス オーバーヘッド
保存データの暗号化が設定されたシステムでdiskreadonlyの制限を下げる必要がある理由は、よくある質問です。
Avamar GSANに格納されているすべてのストライプを暗号化および復号化するには、ストレージ ノードは大量の追加作業を実行する必要があります。
エンジニアリング チームでは、必要な追加の処理オーバーヘッドは、保存データの暗号化が有効になっていないシステムよりも最大50%大きくなることを確認しています。
したがって、保存データの暗号化が有効になっているAvamarでは、diskreadonlyの制限をデフォルトの65%から40%に減らす必要があります。つまり、ストライプが暗号化されていないノードと同じ量のデータを格納するには、1.5倍のノード数が必要になります。
これは、許容できるパフォーマンスと信頼性が維持されるようにするためです。
4.保存データの暗号化を無効にすることはできますか？
Avamarシステムで一度保存データの暗号化を有効にすると、無効にすることはできません。暗号化ソルトを変更できるだけです。
5.保存データの暗号化が有効になっていることを実証する方法
保存データの暗号化が有効になっているAvamarシステムでは、次のような出力が表示されます。
avmaint nodelist --xmlperline=9999 | grep atrestencryption
次のような出力が、コマンド シェルに表示されます。
<atrestencryption-status enabled="true" nr-salts="1"/>
ここで、
enabled="true" nr-salts="1"は、保存データの暗号化が有効になっていることを示します。
enabled="false" nr-salts="0"は、保存データの暗号化が有効になっていないことを示します。
例：
avmaint nodelist --xmlperline=9999 | grep atrestencryption
<atrestencryption-status enabled="true" nr-salts="1"/>
<atrestencryption-status enabled="true" nr-salts="1"/>
<atrestencryption-status enabled="true" nr-salts="1"/>
<atrestencryption-status enabled="true" nr-salts="1"/>
初期化時またはストライプの作成前に保存データの暗号化が実行されたシステムでは、ストライプが作成されて暗号化されると、以前のように「strings」コマンドを使用してストライプを読み取ろうとすると、意味不明なものしか含まれません。
admin@utility:/data01/cur/>: strings 0000000000000656.dat | less
p T7T5s| 1 N © M1 c]LP ,iCE ol v < #6U, ~ )XW D TU ( A: ) ~ ,t} '
3ET S _b kE l>5Q T yc ®x` `' s Kg 4g sh . 8 c! e , A M a M} kX; A 1v z
_ { !{a X JUS * nD 8+ TE2Tf S h,37 QX G * " ®u +8 ' !{+2w 6 PE
Additional Information
よくある質問：
この機能を使用して、Griffinシステム(Avamar/Data Domainの組み合わせ）をどのように構成する必要がありますか？
AvamarとData Domainはどちらも、保存データの暗号化を別々に設定する必要があります。
Dell EMC Data Domain Encryption - よくある質問(FAQ)
40%のdiskreadonlyレベルは、最新のAvamar Datastoreハードウェアに引き続き適用されますか？
これについては、2016年9月にエンジニアリングに相談しました。40%のdiskreadonly設定は、最新のハードウェア(Gen4T)に適用されます。製品管理部門はリクエストを検討していますが、この制限を再評価する予定はありません。
お客様がAvamar Serverのレプリケート ペアを使用している場合、両方のシステムをE.A.Rで構成する必要がありますか？
いいえ、各システムは独立しています。暗号化されたシステム上のデータが暗号化されていないAvamarにレプリケートされると、ターゲット システムは暗号化されていないストライプを作成します。
同様に、暗号化されていないAvamarが暗号化されたシステムにデータをレプリケートする場合、バックアップは暗号化されたストライプに書き込まれます。
一度有効にした保存データの暗号化を無効にすることはできますか？
いいえ。これを実現するには、保存データの暗号化が設定されていないAvamar Serverにデータをレプリケートする必要があります。
お客様がAvamar Serverのレプリケート ペアを使用している場合、両方のシステムをE.A.Rで構成する必要がありますか？
いいえ、各システムは独立しています。暗号化されたシステム上のデータが暗号化されていないAvamarにレプリケートされると、ターゲット システムは暗号化されていないストライプを作成します。
同様に、暗号化されていないAvamarが暗号化されたシステムにデータをレプリケートする場合、バックアップは暗号化されたストライプに書き込まれます。
一度有効にした保存データの暗号化を無効にすることはできますか？
いいえ。これを実現するには、保存データの暗号化が設定されていないAvamar Serverにデータをレプリケートする必要があります。
Affected Products
AvamarProducts
Avamar, Avamar ServerArticle Properties
Article Number: 000046249
Article Type: How To
Last Modified: 10 Feb 2025
Version: 5
Find answers to your questions from other Dell users
Support Services
Check if your device is covered by Support Services.