Avamar - Розуміння функцій шифрування в стані спокою
Summary: У цій статті обговорюються аспекти функції шифрування Avamar, включаючи його призначення та застереження. У внутрішніх розділах цієї статті, яка доступна лише для співробітників і партнерів Dell, пояснюється, як її налаштувати. ...
This article applies to
This article does not apply to
This article is not tied to any specific product.
Not all product versions are identified in this article.
Instructions
Метою цієї статті є обговорення використання шифрування в стані спокою на сервері Avamar.
Це розширена функція, яка передбачає, що ви маєте досвід роботи зі звичайними командами Avamar, які використовуються для обслуговування системи та дій підтримки. В іншому випадку не приступайте. Проконсультуйтеся з відповідною кваліфікованою особою.
Технічний додаток Avamar документує команду «avmaint atrestencryption», але не описує, як безпечно реалізувати її на продакшн-системі Avamar.
У цій статті описано реалізацію та наведено відповіді на деякі поширені запитання, пов'язані з шифруванням у стані спокою.
Ці дедупліковані («атомарні») фрагменти даних записуються у .dat файли. Метадані та дані індексу записуються в інші файли страйпу (.inx, .chd, .cdt тощо).
Цей процес «шматує» дані резервної копії, оскільки вони розбиваються на дрібні шматочки та розкидані по системі.
Хоча цілі файли не можна прочитати, є можливість переглядати фрагменти файлів. Якщо ми запустимо 'string' на смугу даних, можуть бути видимими фрагменти звичайних текстових даних.
Нижче наведено приклад з одного вузла Avamar:
1. Яку проблему вирішує шифрування в стані спокою?
Encryption-at-rest шифрує смуги даних, які містять дані резервної копії користувача.
Після ввімкнення, якщо хтось вкраде Avamar або його диски, їм потрібно буде розшифрувати дані, перш ніж їх можна буде прочитати.
Шифрування в стані спокою не дозволяє користувачу з доступом до програми Avamar або рівня ОС увійти в систему Avamar і відновити дані. Це можливо за допомогою інтерфейсу користувача або шляхом виконання команд avtar і відновлення файлів у GSAN на вузол утиліти.
2. Коли можна ввімкнути шифрування в стані спокою?
Шифрування в стані спокою можна ввімкнути під час робочого процесу встановлення, щоб воно діяло з початку життя сервера Avamar.
Під час цього процесу інсталятор запитує сіль і пароль для шифрування в стані спокою. Якщо вказано сіль та пароль, функція вмикається.
Після того, як систему було ініціалізовано, можна увімкнути шифрування в стані спокою. Однак виконання команди avmaint після ініціалізації впливає лише на новостворені смуги даних і смуги даних, які пізніше обробляються.
Хоча ми можемо бути впевнені, що хрускіт з часом виникає на кожній незашифрованій смужці, ми не можемо цього гарантувати. Смуги, створені до ввімкнення шифрування в стані спокою, можуть залишатися незашифрованими протягом тривалого часу. Іноді, можливо, назавжди.
Наприклад, існує ймовірність того, що Avamar може заповнити смугу статичними даними (наприклад, флешами MCS, які містять конфіденційну інформацію, наприклад, імена хостів). Якщо ця смуга ніколи не зміниться, вона ніколи не піддасться збору сміття або обробці і ніколи не буде зашифрована.
Тому вмикайте шифрування в стані спокою лише як частину робочого процесу встановлення.
3. Накладні витрати на продуктивність при використанні шифрування в стані спокою
Поширене питання: «Чому ліміт лише для читання на диску має бути знижений у системах, на яких встановлено шифрування в стані спокою?»
Шифрування та розшифровка всіх смуг, що зберігаються в Avamar GSAN, вимагає великої додаткової роботи, яку виконують вузли зберігання.
Інженери помітили, що необхідні додаткові накладні витрати на обробку на 50% більші, ніж у системі, де шифрування в стані спокою не включено.
Таким чином, на Avamar, де ввімкнено шифрування в стані спокою, ліміт лише для читання на диску ПОВИНЕНбути зменшений з 65% за замовчуванням до 40%. Це означає, що для зберігання такої ж кількості даних потрібно в 1,5 рази більше вузлів, ніж того, чиї смуги не зашифровані.
Це робиться для того, щоб забезпечити збереження прийнятної продуктивності та надійності.
4. Чи можна відключити шифрування в стані спокою?
Після того, як шифрування в стані спокою було включено в системі Avamar, його не можна відключити, можна змінити тільки солі шифрування.
5. Як продемонструвати, що шифрування в стані спокою ввімкнено.
У системі Avamar, де було ввімкнено encryption-at-rest, ви повинні побачити виведення, подібне до наступногосписку вузлів avmaint --xmlperline=9999 | grep atrestencryption
Інформація, подібна до наступної, з'являється в командній оболонці:
<atrestencryption-status enabled="true" nr-salts="1"/>
Where:
enabled="true" nr-salts="1" вказує, що шифрування в стані спокою включено.
enabled="false" nr-salts="0" вказує, що шифрування в стані спокою не включено.
Приклад:-
Це розширена функція, яка передбачає, що ви маєте досвід роботи зі звичайними командами Avamar, які використовуються для обслуговування системи та дій підтримки. В іншому випадку не приступайте. Проконсультуйтеся з відповідною кваліфікованою особою.
Технічний додаток Avamar документує команду «avmaint atrestencryption», але не описує, як безпечно реалізувати її на продакшн-системі Avamar.
У цій статті описано реалізацію та наведено відповіді на деякі поширені запитання, пов'язані з шифруванням у стані спокою.
- Яку проблему вирішує шифрування в стані спокою?
- Коли можна ввімкнути шифрування в стані спокою?
- Накладні витрати на продуктивність при використанні шифрування в стані спокою
- Чи можна відключити шифрування в стані спокою?
- Процедура ввімкнення шифрування в стані спокою (доступно лише для внутрішнього персоналу та партнерів Dell)
- Як продемонструвати, що шифрування в стані спокою ввімкнено
Ці дедупліковані («атомарні») фрагменти даних записуються у .dat файли. Метадані та дані індексу записуються в інші файли страйпу (.inx, .chd, .cdt тощо).
Цей процес «шматує» дані резервної копії, оскільки вони розбиваються на дрібні шматочки та розкидані по системі.
Хоча цілі файли не можна прочитати, є можливість переглядати фрагменти файлів. Якщо ми запустимо 'string' на смугу даних, можуть бути видимими фрагменти звичайних текстових даних.
Нижче наведено приклад з одного вузла Avamar:
admin@utility:/data01/cur/>: strings 000000000000002E.dat
5900>: Workorder received:
<restore pid="
firm="true" ack
msgver="5"
timeout="10"
="XXXD
ath="Mailbox Database 0904743075" key
sync="fg" cd
d15696dae634d00c120b45e56d0ad2410380d945" mx
6064/776
0/33" wr
<targets>.D
tem_info/BL)
upComponentsDocument.xml
{76fe1ac4-15f7-4bcd-987e-8t
b462fb7}01
_chain
Оскільки фрагменти даних можуть містити адреси електронної пошти, IP-адреси, імена хостів або іншу конфіденційну інформацію, деякі вважають це неприйнятним ризиком для безпеки.
1. Яку проблему вирішує шифрування в стані спокою?
Encryption-at-rest шифрує смуги даних, які містять дані резервної копії користувача.
Після ввімкнення, якщо хтось вкраде Avamar або його диски, їм потрібно буде розшифрувати дані, перш ніж їх можна буде прочитати.
Шифрування в стані спокою не дозволяє користувачу з доступом до програми Avamar або рівня ОС увійти в систему Avamar і відновити дані. Це можливо за допомогою інтерфейсу користувача або шляхом виконання команд avtar і відновлення файлів у GSAN на вузол утиліти.
2. Коли можна ввімкнути шифрування в стані спокою?
Шифрування в стані спокою можна ввімкнути під час робочого процесу встановлення, щоб воно діяло з початку життя сервера Avamar.
Під час цього процесу інсталятор запитує сіль і пароль для шифрування в стані спокою. Якщо вказано сіль та пароль, функція вмикається.
Після того, як систему було ініціалізовано, можна увімкнути шифрування в стані спокою. Однак виконання команди avmaint після ініціалізації впливає лише на новостворені смуги даних і смуги даних, які пізніше обробляються.
Хоча ми можемо бути впевнені, що хрускіт з часом виникає на кожній незашифрованій смужці, ми не можемо цього гарантувати. Смуги, створені до ввімкнення шифрування в стані спокою, можуть залишатися незашифрованими протягом тривалого часу. Іноді, можливо, назавжди.
Наприклад, існує ймовірність того, що Avamar може заповнити смугу статичними даними (наприклад, флешами MCS, які містять конфіденційну інформацію, наприклад, імена хостів). Якщо ця смуга ніколи не зміниться, вона ніколи не піддасться збору сміття або обробці і ніколи не буде зашифрована.
Тому вмикайте шифрування в стані спокою лише як частину робочого процесу встановлення.
3. Накладні витрати на продуктивність при використанні шифрування в стані спокою
Поширене питання: «Чому ліміт лише для читання на диску має бути знижений у системах, на яких встановлено шифрування в стані спокою?»
Шифрування та розшифровка всіх смуг, що зберігаються в Avamar GSAN, вимагає великої додаткової роботи, яку виконують вузли зберігання.
Інженери помітили, що необхідні додаткові накладні витрати на обробку на 50% більші, ніж у системі, де шифрування в стані спокою не включено.
Таким чином, на Avamar, де ввімкнено шифрування в стані спокою, ліміт лише для читання на диску ПОВИНЕНбути зменшений з 65% за замовчуванням до 40%. Це означає, що для зберігання такої ж кількості даних потрібно в 1,5 рази більше вузлів, ніж того, чиї смуги не зашифровані.
Це робиться для того, щоб забезпечити збереження прийнятної продуктивності та надійності.
4. Чи можна відключити шифрування в стані спокою?
Після того, як шифрування в стані спокою було включено в системі Avamar, його не можна відключити, можна змінити тільки солі шифрування.
5. Як продемонструвати, що шифрування в стані спокою ввімкнено.
У системі Avamar, де було ввімкнено encryption-at-rest, ви повинні побачити виведення, подібне до наступногосписку вузлів avmaint --xmlperline=9999 | grep atrestencryption
Інформація, подібна до наступної, з'являється в командній оболонці:
<atrestencryption-status enabled="true" nr-salts="1"/>
Where:
enabled="true" nr-salts="1" вказує, що шифрування в стані спокою включено.
enabled="false" nr-salts="0" вказує, що шифрування в стані спокою не включено.
Приклад:-
avmaint nodelist --xmlperline=9999 | grep atrestencryption
<atrestencryption-status enabled="true" nr-salts="1"/>
<atrestencryption-status enabled="true" nr-salts="1"/>
<atrestencryption-status enabled="true" nr-salts="1"/>
<atrestencryption-status enabled="true" nr-salts="1"/>
У системі, де шифрування в стані спокою виконується під час ініціалізації або перед створенням будь-яких страйпів, після створення та шифрування страйпів вони містять лише тарабарщину, якщо ми спробуємо прочитати їх за допомогою команди 'strings', як це було раніше.
admin@utility:/data01/cur/>: strings 0000000000000656.dat | less
p T7T5s| 1 N © M1 c]LP ,iCE ol v < #6U, ~ )XW D TU ( A: ) ~ ,t} '
3ET S _b kE l>5Q T yc ®x` `' s Kg 4g sh . 8 c! e , A M a M} kX; A 1v z
_ { !{a X JUS * nD 8+ TE2Tf S h,37 QX G * " ®u +8 ' !{+2w 6 PE
Additional Information
Часто задавані питання:
Як системи Griffin (комбінація Avamar/DataDomain) повинні бути налаштовані з цією функцією?
І Avamar, і Data Domain повинні бути налаштовані з шифруванням у стані спокою окремо.
Шифрування домену даних Dell EMC - Найпоширеніші запитання й відповіді
Чи 40% рівень лише для читання диска все ще застосовується до останнього обладнання Avamar Datastore?
З цього приводу були проведені консультації з інженерами у вересні 2016 року. Параметр 40% лише для читання на диску застосовується до останнього обладнання (Gen4T). Продакт-менеджмент розглядає запит, але не планує переглядати ліміт
.Якщо у клієнта є реплікуюча пара серверів Avamar, чи повинні обидві системи бути налаштовані з E.A.R?
Ні, кожна система є незалежною. Коли дані в зашифрованій системі реплікуються в незашифрований Avamar, цільова система створює незашифровані смуги.
Аналогічно, якщо незашифрований Avamar реплікує дані в зашифровану систему, резервні копії записуються в зашифровані смуги.
Чи можна вимкнути шифрування в стані спокою після ввімкнення?
Ні. Щоб досягти цього, дані повинні бути репліковані на сервер Avamar, де не встановлено шифрування в стані спокою.
.Якщо у клієнта є реплікуюча пара серверів Avamar, чи повинні обидві системи бути налаштовані з E.A.R?
Ні, кожна система є незалежною. Коли дані в зашифрованій системі реплікуються в незашифрований Avamar, цільова система створює незашифровані смуги.
Аналогічно, якщо незашифрований Avamar реплікує дані в зашифровану систему, резервні копії записуються в зашифровані смуги.
Чи можна вимкнути шифрування в стані спокою після ввімкнення?
Ні. Щоб досягти цього, дані повинні бути репліковані на сервер Avamar, де не встановлено шифрування в стані спокою.
Affected Products
AvamarProducts
Avamar, Avamar ServerArticle Properties
Article Number: 000046249
Article Type: How To
Last Modified: 10 Feb 2025
Version: 5
Find answers to your questions from other Dell users
Support Services
Check if your device is covered by Support Services.