Avamar — zrozumienie funkcji szyfrowania w spoczynku
Summary: W tym artykule omówiono aspekty funkcji szyfrowania w spoczynku Avamar, w tym jej cel i zastrzeżenia. Wewnętrzne sekcje tego artykułu, który jest dostępny tylko dla pracowników i partnerów firmy Dell, wyjaśniają, jak go skonfigurować. ...
This article applies to
This article does not apply to
This article is not tied to any specific product.
Not all product versions are identified in this article.
Instructions
Celem tego artykułu jest omówienie korzystania z szyfrowania w spoczynku na serwerze Avamar.
Jest to zaawansowana funkcja, która zakłada, że użytkownik ma doświadczenie z regularnymi poleceniami Avamar używanymi do konserwacji systemu i działań pomocniczych. W przeciwnym razie nie kontynuuj. Należy skonsultować się z odpowiednio wykwalifikowaną osobą.
Dodatek techniczny Avamar dokumentuje polecenie „avmaint atrestencryption”, ale nie opisuje, jak bezpiecznie wdrożyć je w produkcyjnym systemie Avamar.
Ten artykuł opisuje implementację i odpowiada na niektóre typowe pytania związane z szyfrowaniem w spoczynku.
Te zdeduplikowane („atomowe”) fragmenty danych są zapisywane w plikach .dat. Metadane i dane indeksu są zapisywane w innych plikach pasków (.inx, .chd, .cdt i tak dalej).
Proces ten „niszczy” dane kopii zapasowej, ponieważ są one dzielone na małe części i rozrzucane po całym systemie.
Chociaż nie można odczytać całych plików, możliwe jest przeglądanie ich fragmentów. Jeśli uruchomimy „strings” na pasku danych, fragmenty danych tekstowych mogą być widoczne.
Poniżej znajduje się przykład z pojedynczego węzła Avamar:
1. Jaki problem rozwiązuje szyfrowanie w spoczynku?
Szyfrowanie w spoczynku szyfruje paski danych, które zawierają dane kopii zapasowej użytkownika.
Po włączeniu, jeśli ktoś ukradnie Avamar lub jego dyski, będzie musiał odszyfrować dane, zanim będzie można je odczytać.
Szyfrowanie w spoczynku uniemożliwia komuś z dostępem do aplikacji Avamar lub systemu operacyjnego zalogowanie się do systemu Avamar i przywrócenie danych. Jest to możliwe przy użyciu interfejsu użytkownika lub poprzez uruchomienie poleceń avtar i przywrócenie plików w GSAN do węzła narzędziowego.
2. Kiedy można włączyć szyfrowanie w spoczynku?
Szyfrowanie w spoczynku można włączyć podczas procesu instalacji, aby działało od początku działania serwera Avamar.
Podczas tego procesu instalator wyświetla monit o podanie soli i hasła do szyfrowania w spoczynku. Jeśli podano sól i hasło, funkcja jest włączona.
Po zainicjowaniu systemu można włączyć szyfrowanie w spoczynku. Jednak uruchomienie komendy avmaint po inicjalizacji wpływa tylko na nowo utworzone paski danych i paski danych, które są później przetwarzane.
Chociaż możemy być pewni, że przetwarzanie ostatecznie wystąpi na każdym niezaszyfrowanym pasku, nie możemy tego zagwarantować. Paski utworzone przed włączeniem szyfrowania w spoczynku mogą pozostać niezaszyfrowane przez długi czas. Czasami nawet na zawsze.
Na przykład, istnieje możliwość, że Avamar może zapełnić pasek danymi statycznymi (takimi jak płuczki MCS, które zawierają poufne informacje, takie jak nazwy hostów). Jeśli ten pasek nigdy się nie zmieni, nigdy nie zostanie poddany zbieraniu odpadów (garbage collection) lub przetworzeniu (crunching) i nigdy nie zostanie zaszyfrowany.
W związku z tym szyfrowanie w stanie spoczynku należy włączać tylko w ramach procesu instalacji.
3. Obciążenie wydajności związane z szyfrowaniem w spoczynku
Częstym pytaniem jest „Dlaczego limit diskreadonly musi być obniżony w systemach ustawionych z szyfrowaniem w spoczynku?”
Szyfrowanie i odszyfrowywanie wszystkich pasków przechowywanych w Avamar GSAN wymaga dużej ilości dodatkowej pracy do wykonania przez węzły pamięci masowej.
Inżynierowie zaobserwowali, że wymagany dodatkowy narzut przetwarzania jest do 50% większy niż w systemie, w którym szyfrowanie w spoczynku nie jest włączone.
Dlatego na Avamar, gdzie włączone jest szyfrowanie w spoczynku, limit diskreadonly MUSI zostać zmniejszony z domyślnych 65% do 40%. Oznacza to, że do przechowywania tej samej ilości danych wymagana jest 1,5 razy większa liczba węzłów niż w przypadku węzłów, których paski nie są szyfrowane.
Ma to na celu zapewnienie utrzymania akceptowalnej wydajności i niezawodności.
4. Czy szyfrowanie w spoczynku można wyłączyć?
Po włączeniu szyfrowania w spoczynku w systemie Avamar nie można go wyłączyć, można jedynie zmienić sole szyfrujące.
5. Jak zademonstrować, że szyfrowanie w spoczynku jest włączone.
W systemie Avamar, w którym włączono szyfrowanie w spoczynku, powinno się zobaczyć dane wyjściowe podobne do następujących
avmaint nodelist --xmlperline=9999 | grep atrestencryption
Informacje podobne do poniższych pojawiają się w powłoce poleceń:
<atrestencryption-status enabled="true" nr-salts="1"/>
Gdzie:
enabled="true" nr-salts="1" oznacza, że szyfrowanie w spoczynku jest włączone.
enabled="false" nr-salts="0" oznacza, że szyfrowanie w spoczynku nie jest włączone.
Przykład:-
Jest to zaawansowana funkcja, która zakłada, że użytkownik ma doświadczenie z regularnymi poleceniami Avamar używanymi do konserwacji systemu i działań pomocniczych. W przeciwnym razie nie kontynuuj. Należy skonsultować się z odpowiednio wykwalifikowaną osobą.
Dodatek techniczny Avamar dokumentuje polecenie „avmaint atrestencryption”, ale nie opisuje, jak bezpiecznie wdrożyć je w produkcyjnym systemie Avamar.
Ten artykuł opisuje implementację i odpowiada na niektóre typowe pytania związane z szyfrowaniem w spoczynku.
- Jaki problem rozwiązuje szyfrowanie w spoczynku?
- Kiedy można włączyć szyfrowanie w spoczynku?
- Narzut wydajnościowy związany z korzystaniem z szyfrowania w spoczynku
- Czy szyfrowanie w stanie spoczynku można wyłączyć?
- Procedura włączania szyfrowania w spoczynku (dostępna tylko dla wewnętrznych pracowników i partnerów firmy Dell)
- Jak wykazać, że szyfrowanie w spoczynku jest włączone?
Te zdeduplikowane („atomowe”) fragmenty danych są zapisywane w plikach .dat. Metadane i dane indeksu są zapisywane w innych plikach pasków (.inx, .chd, .cdt i tak dalej).
Proces ten „niszczy” dane kopii zapasowej, ponieważ są one dzielone na małe części i rozrzucane po całym systemie.
Chociaż nie można odczytać całych plików, możliwe jest przeglądanie ich fragmentów. Jeśli uruchomimy „strings” na pasku danych, fragmenty danych tekstowych mogą być widoczne.
Poniżej znajduje się przykład z pojedynczego węzła Avamar:
admin@utility:/data01/cur/>: strings 000000000000002E.dat
5900>: Workorder received:
<restore pid="
firm="true" ack
msgver="5"
timeout="10"
="XXXD
ath="Mailbox Database 0904743075" key
sync="fg" cd
d15696dae634d00c120b45e56d0ad2410380d945" mx
6064/776
0/33" wr
<targets>.D
tem_info/BL)
upComponentsDocument.xml
{76fe1ac4-15f7-4bcd-987e-8t
b462fb7}01
_chain
Ponieważ fragmenty danych mogą zawierać adresy e-mail, adresy IP, nazwy hostów lub inne poufne informacje, niektórzy uważają to za niedopuszczalne zagrożenie bezpieczeństwa.
1. Jaki problem rozwiązuje szyfrowanie w spoczynku?
Szyfrowanie w spoczynku szyfruje paski danych, które zawierają dane kopii zapasowej użytkownika.
Po włączeniu, jeśli ktoś ukradnie Avamar lub jego dyski, będzie musiał odszyfrować dane, zanim będzie można je odczytać.
Szyfrowanie w spoczynku uniemożliwia komuś z dostępem do aplikacji Avamar lub systemu operacyjnego zalogowanie się do systemu Avamar i przywrócenie danych. Jest to możliwe przy użyciu interfejsu użytkownika lub poprzez uruchomienie poleceń avtar i przywrócenie plików w GSAN do węzła narzędziowego.
2. Kiedy można włączyć szyfrowanie w spoczynku?
Szyfrowanie w spoczynku można włączyć podczas procesu instalacji, aby działało od początku działania serwera Avamar.
Podczas tego procesu instalator wyświetla monit o podanie soli i hasła do szyfrowania w spoczynku. Jeśli podano sól i hasło, funkcja jest włączona.
Po zainicjowaniu systemu można włączyć szyfrowanie w spoczynku. Jednak uruchomienie komendy avmaint po inicjalizacji wpływa tylko na nowo utworzone paski danych i paski danych, które są później przetwarzane.
Chociaż możemy być pewni, że przetwarzanie ostatecznie wystąpi na każdym niezaszyfrowanym pasku, nie możemy tego zagwarantować. Paski utworzone przed włączeniem szyfrowania w spoczynku mogą pozostać niezaszyfrowane przez długi czas. Czasami nawet na zawsze.
Na przykład, istnieje możliwość, że Avamar może zapełnić pasek danymi statycznymi (takimi jak płuczki MCS, które zawierają poufne informacje, takie jak nazwy hostów). Jeśli ten pasek nigdy się nie zmieni, nigdy nie zostanie poddany zbieraniu odpadów (garbage collection) lub przetworzeniu (crunching) i nigdy nie zostanie zaszyfrowany.
W związku z tym szyfrowanie w stanie spoczynku należy włączać tylko w ramach procesu instalacji.
3. Obciążenie wydajności związane z szyfrowaniem w spoczynku
Częstym pytaniem jest „Dlaczego limit diskreadonly musi być obniżony w systemach ustawionych z szyfrowaniem w spoczynku?”
Szyfrowanie i odszyfrowywanie wszystkich pasków przechowywanych w Avamar GSAN wymaga dużej ilości dodatkowej pracy do wykonania przez węzły pamięci masowej.
Inżynierowie zaobserwowali, że wymagany dodatkowy narzut przetwarzania jest do 50% większy niż w systemie, w którym szyfrowanie w spoczynku nie jest włączone.
Dlatego na Avamar, gdzie włączone jest szyfrowanie w spoczynku, limit diskreadonly MUSI zostać zmniejszony z domyślnych 65% do 40%. Oznacza to, że do przechowywania tej samej ilości danych wymagana jest 1,5 razy większa liczba węzłów niż w przypadku węzłów, których paski nie są szyfrowane.
Ma to na celu zapewnienie utrzymania akceptowalnej wydajności i niezawodności.
4. Czy szyfrowanie w spoczynku można wyłączyć?
Po włączeniu szyfrowania w spoczynku w systemie Avamar nie można go wyłączyć, można jedynie zmienić sole szyfrujące.
5. Jak zademonstrować, że szyfrowanie w spoczynku jest włączone.
W systemie Avamar, w którym włączono szyfrowanie w spoczynku, powinno się zobaczyć dane wyjściowe podobne do następujących
avmaint nodelist --xmlperline=9999 | grep atrestencryption
Informacje podobne do poniższych pojawiają się w powłoce poleceń:
<atrestencryption-status enabled="true" nr-salts="1"/>
Gdzie:
enabled="true" nr-salts="1" oznacza, że szyfrowanie w spoczynku jest włączone.
enabled="false" nr-salts="0" oznacza, że szyfrowanie w spoczynku nie jest włączone.
Przykład:-
avmaint nodelist --xmlperline=9999 | grep atrestencryption
<atrestencryption-status enabled="true" nr-salts="1"/>
<atrestencryption-status enabled="true" nr-salts="1"/>
<atrestencryption-status enabled="true" nr-salts="1"/>
<atrestencryption-status enabled="true" nr-salts="1"/>
W systemie, w którym szyfrowanie w spoczynku jest wykonywane podczas inicjalizacji lub przed utworzeniem jakichkolwiek pasków, po utworzeniu i zaszyfrowaniu pasków zawierają one tylko bełkot, jeśli spróbujemy je odczytać za pomocą polecenia „strings”, jak poprzednio.
admin@utility:/data01/cur/>: strings 0000000000000656.dat | less
p T7T5s| 1 N © M1 c]LP ,iCE ol v < #6U, ~ )XW D TU ( A: ) ~ ,t} '
3ET S _b kE l>5Q T yc ®x` `' s Kg 4g sh . 8 c! e , A M a M} kX; A 1v z
_ { !{a X JUS * nD 8+ TE2Tf S h,37 QX G * " ®u +8 ' !{+2w 6 PE
Additional Information
Często zadawane pytania:
Jak systemy Griffin (kombinacja Avamar/DataDomain) powinny być skonfigurowane z tą funkcją?
Zarówno systemy Avamar, jak i Data Domain powinny być skonfigurowane z szyfrowaniem w spoczynku oddzielnie.
Szyfrowanie Data Domain Dell EMC — często zadawane pytania
Czy poziom 40% diskreadonly nadal ma zastosowanie do najnowszego sprzętu Avamar Datastore?.
Konsultacje z inżynierami w tej sprawie odbyły się we wrześniu 2016 roku. Ustawienie 40% diskreadonly dotyczy najnowszego sprzętu (Gen4T). Kierownictwo produktu rozważa tę prośbę, ale nie planuje ponownej oceny limitu.
Jeśli klient ma parę replikujących się serwerów Avamar, czy oba systemy muszą być skonfigurowane z E.A.R?
Nie, każdy system jest niezależny. Gdy dane w zaszyfrowanym systemie są replikowane do niezaszyfrowanego systemu Avamar, system docelowy tworzy niezaszyfrowane paski.
Podobnie, jeśli niezaszyfrowany Avamar replikuje dane do zaszyfrowanego systemu, kopie zapasowe są zapisywane na zaszyfrowanych paskach.
Po włączeniu, czy można wyłączyć szyfrowanie w spoczynku?
Nie. Aby to osiągnąć, dane muszą zostać zreplikowane na serwer Avamar, na którym nie ustawiono szyfrowania w spoczynku.
Jeśli klient ma parę replikujących się serwerów Avamar, czy oba systemy muszą być skonfigurowane z E.A.R?
Nie, każdy system jest niezależny. Gdy dane w zaszyfrowanym systemie są replikowane do niezaszyfrowanego systemu Avamar, system docelowy tworzy niezaszyfrowane paski.
Podobnie, jeśli niezaszyfrowany Avamar replikuje dane do zaszyfrowanego systemu, kopie zapasowe są zapisywane na zaszyfrowanych paskach.
Po włączeniu, czy można wyłączyć szyfrowanie w spoczynku?
Nie. Aby to osiągnąć, dane muszą zostać zreplikowane na serwer Avamar, na którym nie ustawiono szyfrowania w spoczynku.
Affected Products
AvamarProducts
Avamar, Avamar ServerArticle Properties
Article Number: 000046249
Article Type: How To
Last Modified: 10 Feb 2025
Version: 5
Find answers to your questions from other Dell users
Support Services
Check if your device is covered by Support Services.