Avamar — общие сведения о функциональности шифрования в состоянии покоя
Summary: В этой статье обсуждаются аспекты функциональности шифрования Avamar в состоянии покоя, включая ее назначение и ограничения. Во внутренних разделах этой статьи, доступных только персоналу и партнерам Dell, объясняется, как настроить такое шифрование. ...
This article applies to
This article does not apply to
This article is not tied to any specific product.
Not all product versions are identified in this article.
Instructions
Цель этой статьи — обсудить использование шифрования в состоянии покоя на Avamar Server.
Это расширенная функция, которая предполагает, что вам известны обычные команды Avamar, используемые для обслуживания и поддержки системы. Если вы не знаете такие команды, не продолжайте работу. Проконсультируйтесь с квалифицированным специалистом.
В техническом дополнении Avamar содержится команда «avmaint atrestencryption», но не описывается, как безопасно внедрять ее в производственной системе Avamar.
В этой статье описывается внедрение и даются ответы на некоторые распространенные вопросы, связанные с шифрованием в состоянии покоя.
Эти дедуплицированные («атомарные») фрагменты данных записываются в файлы .dat. Метаданные и индексные данные записываются в другие файлы полосы данных (.inx, .chd, .cdt и т. д.).
Этот процесс «измельчает» данные резервного копирования, так как они разбиваются на небольшие фрагменты и распределяются по системе.
Хотя невозможно прочитать файлы целиком, можно просмотреть фрагменты файлов. При выполнении команды «strings» в полосе данных могут отображаться фрагменты обычных текстовых данных.
Ниже приведен пример одноузлового Avamar.
1. Какую проблему решает шифрование в состоянии покоя?
Шифрование в состоянии покоя шифрует полосы данных, содержащие данные резервного копирования пользователя.
Если после включения кто-то украл Avamar или его дисковые накопители, ему потребуется дешифровать данные, прежде чем их можно будет прочитать.
Шифрование в состоянии покоя не позволяет кому-либо с доступом на уровне приложения или ОС войти в систему Avamar и восстановить данные. Это можно сделать с помощью пользовательского интерфейса или выполнения команд avtar и восстановления файлов в GSAN на служебном узле.
2. Когда можно включить шифрование в состоянии покоя?
Шифрование в состоянии покоя можно включить во время рабочего процесса установки, чтобы оно действовало с начала срока службы Avamar Server.
Во время этого процесса установщик запрашивает пароль и соль для шифрования в состоянии покоя. Если указаны соль и пароль, эта функция включена.
После инициализации системы можно включить шифрование в состоянии покоя. Однако выполнение команды avmaint после инициализации влияет только на новые созданные полосы данных и полосы данных, которые позже обрабатываются.
Хотя мы можем быть уверены, что обработка в конечном счете происходит на каждой незашифрованной полосе, мы не можем гарантировать это. Полосы, созданные до включения шифрования в состоянии покоя, могут оставаться незашифрованными в течение длительного времени. Вероятно, в некоторых случаях даже навсегда.
Например, существует вероятность того, что Avamar может заполнить полосу статическими данными (например, очистка MCS, содержащих конфиденциальную информацию, такую как имена хостов). Если эта полоса никогда не изменяется, она никогда не подвергается чистке или обработке и никогда не будет зашифрована.
Таким образом, шифрование в состоянии покоя включается только в рамках рабочего процесса установки.
3. Издержки производительности при использовании шифрования в состоянии покоя
Распространенный вопрос: «Почему ограничение для параметра diskreadonly нужно снижать в системах с шифрованием в состоянии покоя?»
Для шифрования и дешифрования всех полос, хранящихся в Avamar GSAN, узлам хранения данных требуется выполнить колоссальную дополнительную работу.
Специалисты инженерного отдела обнаружили, что требуемые дополнительные издержки на обработку на 50% больше, чем в системе, в которой шифрование в состоянии покоя не включено.
Поэтому в Avamar, где включено шифрование в состоянии покоя, ограничение параметра diskreadonly ДОЛЖНО быть уменьшено с 65% до 40% по умолчанию. Это означает, что для хранения того же объема данных, что и для узла, полосы которого не шифруются, требуется в 1,5 раза больше узлов.
Это необходимо для обеспечения приемлемой производительности и надежности.
4. Можно ли отключить шифрование в состоянии покоя?
После включения шифрования в состоянии покоя в системе Avamar его нельзя отключить, можно изменить только соли шифрования.
5. Как продемонстрировать, что шифрование в состоянии покоя включено.
В системе Avamar, где включено шифрование в состоянии покоя, должны выводиться выходные данные, аналогичные следующим:
avmaint nodelist --xmlperline=9999 | grep atrestencryption
В командной оболочке появляется информация, аналогичная следующей:
<atrestencryption-status enabled="true" nr-salts="1"/>
, где:
enabled="true" nr-salts="1" указывает, что шифрование в состоянии покоя включено.
enabled="false" nr-salts="0" указывает, что шифрование в состоянии покоя не включено.
Пример.
Это расширенная функция, которая предполагает, что вам известны обычные команды Avamar, используемые для обслуживания и поддержки системы. Если вы не знаете такие команды, не продолжайте работу. Проконсультируйтесь с квалифицированным специалистом.
В техническом дополнении Avamar содержится команда «avmaint atrestencryption», но не описывается, как безопасно внедрять ее в производственной системе Avamar.
В этой статье описывается внедрение и даются ответы на некоторые распространенные вопросы, связанные с шифрованием в состоянии покоя.
- Какую проблему решает шифрование в состоянии покоя?
- Когда можно включить шифрование в состоянии покоя?
- Издержки производительности при использовании шифрования в состоянии покоя
- Можно ли отключить шифрование в состоянии покоя?
- Процедура включения шифрования в состоянии покоя (доступна только для внутреннего персонала и партнеров Dell)
- Как продемонстрировать, что шифрование в состоянии покоя включено
Эти дедуплицированные («атомарные») фрагменты данных записываются в файлы .dat. Метаданные и индексные данные записываются в другие файлы полосы данных (.inx, .chd, .cdt и т. д.).
Этот процесс «измельчает» данные резервного копирования, так как они разбиваются на небольшие фрагменты и распределяются по системе.
Хотя невозможно прочитать файлы целиком, можно просмотреть фрагменты файлов. При выполнении команды «strings» в полосе данных могут отображаться фрагменты обычных текстовых данных.
Ниже приведен пример одноузлового Avamar.
admin@utility:/data01/cur/>: strings 000000000000002E.dat
5900>: Workorder received:
<restore pid="
firm="true" ack
msgver="5"
timeout="10"
="XXXD
ath="Mailbox Database 0904743075" key
sync="fg" cd
d15696dae634d00c120b45e56d0ad2410380d945" mx
6064/776
0/33" wr
<targets>.D
tem_info/BL)
upComponentsDocument.xml
{76fe1ac4-15f7-4bcd-987e-8t
b462fb7}01
_chain
Поскольку фрагменты данных могут содержать адреса электронной почты, IP-адреса, имена хостов или другую конфиденциальную информацию, некоторые считают это неприемлемым риском для безопасности.
1. Какую проблему решает шифрование в состоянии покоя?
Шифрование в состоянии покоя шифрует полосы данных, содержащие данные резервного копирования пользователя.
Если после включения кто-то украл Avamar или его дисковые накопители, ему потребуется дешифровать данные, прежде чем их можно будет прочитать.
Шифрование в состоянии покоя не позволяет кому-либо с доступом на уровне приложения или ОС войти в систему Avamar и восстановить данные. Это можно сделать с помощью пользовательского интерфейса или выполнения команд avtar и восстановления файлов в GSAN на служебном узле.
2. Когда можно включить шифрование в состоянии покоя?
Шифрование в состоянии покоя можно включить во время рабочего процесса установки, чтобы оно действовало с начала срока службы Avamar Server.
Во время этого процесса установщик запрашивает пароль и соль для шифрования в состоянии покоя. Если указаны соль и пароль, эта функция включена.
После инициализации системы можно включить шифрование в состоянии покоя. Однако выполнение команды avmaint после инициализации влияет только на новые созданные полосы данных и полосы данных, которые позже обрабатываются.
Хотя мы можем быть уверены, что обработка в конечном счете происходит на каждой незашифрованной полосе, мы не можем гарантировать это. Полосы, созданные до включения шифрования в состоянии покоя, могут оставаться незашифрованными в течение длительного времени. Вероятно, в некоторых случаях даже навсегда.
Например, существует вероятность того, что Avamar может заполнить полосу статическими данными (например, очистка MCS, содержащих конфиденциальную информацию, такую как имена хостов). Если эта полоса никогда не изменяется, она никогда не подвергается чистке или обработке и никогда не будет зашифрована.
Таким образом, шифрование в состоянии покоя включается только в рамках рабочего процесса установки.
3. Издержки производительности при использовании шифрования в состоянии покоя
Распространенный вопрос: «Почему ограничение для параметра diskreadonly нужно снижать в системах с шифрованием в состоянии покоя?»
Для шифрования и дешифрования всех полос, хранящихся в Avamar GSAN, узлам хранения данных требуется выполнить колоссальную дополнительную работу.
Специалисты инженерного отдела обнаружили, что требуемые дополнительные издержки на обработку на 50% больше, чем в системе, в которой шифрование в состоянии покоя не включено.
Поэтому в Avamar, где включено шифрование в состоянии покоя, ограничение параметра diskreadonly ДОЛЖНО быть уменьшено с 65% до 40% по умолчанию. Это означает, что для хранения того же объема данных, что и для узла, полосы которого не шифруются, требуется в 1,5 раза больше узлов.
Это необходимо для обеспечения приемлемой производительности и надежности.
4. Можно ли отключить шифрование в состоянии покоя?
После включения шифрования в состоянии покоя в системе Avamar его нельзя отключить, можно изменить только соли шифрования.
5. Как продемонстрировать, что шифрование в состоянии покоя включено.
В системе Avamar, где включено шифрование в состоянии покоя, должны выводиться выходные данные, аналогичные следующим:
avmaint nodelist --xmlperline=9999 | grep atrestencryption
В командной оболочке появляется информация, аналогичная следующей:
<atrestencryption-status enabled="true" nr-salts="1"/>
, где:
enabled="true" nr-salts="1" указывает, что шифрование в состоянии покоя включено.
enabled="false" nr-salts="0" указывает, что шифрование в состоянии покоя не включено.
Пример.
avmaint nodelist --xmlperline=9999 | grep atrestencryption
<atrestencryption-status enabled="true" nr-salts="1"/>
<atrestencryption-status enabled="true" nr-salts="1"/>
<atrestencryption-status enabled="true" nr-salts="1"/>
<atrestencryption-status enabled="true" nr-salts="1"/>
В системе, в которой шифрование в состоянии покоя выполняется при инициализации или до создания полос, после создания и шифрования полос они содержат только искаженные данные, если мы попытаемся прочитать их с помощью команды «strings», как ранее.
admin@utility:/data01/cur/>: strings 0000000000000656.dat | less
p T7T5s| 1 N © M1 c]LP ,iCE ol v < #6U, ~ )XW D TU ( A: ) ~ ,t} '
3ET S _b kE l>5Q T yc ®x` `' s Kg 4g sh . 8 c! e , A M a M} kX; A 1v z
_ { !{a X JUS * nD 8+ TE2Tf S h,37 QX G * " ®u +8 ' !{+2w 6 PE
Additional Information
Часто задаваемые вопросы:
Как настроить эту функцию для систем Griffin (сочетание Avamar/DataDomain)?
Avamar и Data Domain должны быть настроены с отдельным шифрованием в состоянии покоя.
Dell EMC Data Domain Encryption — часто задаваемые вопросы
Применим ли уровень в 40% для параметра diskreadonly к новейшему оборудованию хранилища данных Avamar?
В сентябре 2016 г. к специалистам инженерного отдела обращались по этому вопросу. Значение в 40% для параметра diskreadonly применяется к новейшему оборудованию (Gen4T). Отдел управления продуктами рассматривает запрос, но не планирует менять лимит.
Если у заказчика есть пара серверов Avamar для репликации, нужно ли настроить обе системы с помощью E.A.R?
Нет, каждая система независима. Когда данные в зашифрованной системе реплицируются на незашифрованный сервер Avamar, целевая система создает незашифрованные полосы.
Аналогичным образом, если незашифрованный сервер Avamar реплицирует данные в зашифрованную систему, резервные копии записываются в зашифрованные полосы.
Можно ли отключить шифрование в состоянии покоя после включения?
Нет. Для этого необходимо реплицировать данные на Avamar Server, на котором не настроено шифрование в состоянии покоя.
Если у заказчика есть пара серверов Avamar для репликации, нужно ли настроить обе системы с помощью E.A.R?
Нет, каждая система независима. Когда данные в зашифрованной системе реплицируются на незашифрованный сервер Avamar, целевая система создает незашифрованные полосы.
Аналогичным образом, если незашифрованный сервер Avamar реплицирует данные в зашифрованную систему, резервные копии записываются в зашифрованные полосы.
Можно ли отключить шифрование в состоянии покоя после включения?
Нет. Для этого необходимо реплицировать данные на Avamar Server, на котором не настроено шифрование в состоянии покоя.
Affected Products
AvamarProducts
Avamar, Avamar ServerArticle Properties
Article Number: 000046249
Article Type: How To
Last Modified: 10 Feb 2025
Version: 5
Find answers to your questions from other Dell users
Support Services
Check if your device is covered by Support Services.