Avamar: общие сведения о функциях шифрования в состоянии покоя
Summary: В этой статье рассматриваются аспекты функциональности шифрования в состоянии покоя Avamar, включая ее назначение и предостережения. Внутренний раздел этой статьи, доступный только сотрудникам и партнерам Dell, объясняет, как ее настроить. ...
Acest articol se aplică pentru
Acest articol nu se aplică pentru
Acest articol nu este legat de un produs specific.
Acest articol nu acoperă toate versiunile de produs existente.
Instructions
Целью данной статьи является обсуждение использования шифрования в состоянии покоя на сервере Avamar.
Это расширенная функция, которая предполагает, что у вас есть опыт работы с обычными командами Avamar, используемыми для обслуживания и поддержки системы. В противном случае не продолжайте. Проконсультируйтесь с квалифицированным специалистом.
В техническом дополнении к Avamar описана команда «avmaint atrestencryption», но не описывается, как безопасно реализовать ее в производственной системе Avamar.
В этой статье описывается реализация и ответы на некоторые распространенные вопросы, связанные с шифрованием в состоянии покоя.
Эти дедуплицированные («атомарные») блоки данных записываются в .dat файлы. Метаданные и данные индекса записываются в другие страйп-файлы (INX, CHD, CDT и т. д.).
Этот процесс «уничтожает» резервные копии данных, поскольку они разбиваются на мелкие кусочки и разбросаны по всей системе.
Несмотря на то, что целые файлы не могут быть прочитаны, можно просматривать фрагменты файлов. Если мы запустим «строки» на полосе данных, могут быть видны фрагменты данных в виде простого текста.
Ниже приведен пример из одного узла Avamar:
1. См. Какую проблему решает шифрование в состоянии покоя?
Шифрование в состоянии покоя шифрует страйпы данных, содержащие данные резервных копий пользователя.
Если кто-то украдет Avamar или его диски, ему потребуется расшифровать данные, прежде чем их можно будет прочитать.
Шифрование неактивных данных не позволяет кому-либо с доступом на уровне приложения Avamar или ОС войти в систему Avamar и восстановить данные. Это можно сделать с помощью пользовательского интерфейса или выполнив команды avtar и восстановив файлы в GSAN на служебном узле.
2. Когда можно включить шифрование в состоянии покоя?
Шифрование неактивных данных можно включить во время процесса установки, чтобы оно действовало с самого начала жизненного цикла Avamar Server.
Во время этого процесса установщик запрашивает соль и пароль для шифрования в состоянии покоя. Если указаны соль и пароль, функция включена.
После инициализации системы можно включить шифрование в состоянии покоя. Однако выполнение команды avmaint после инициализации влияет только на вновь созданные полосы данных и полосы данных, которые впоследствии обрабатываются.
Хотя мы можем быть уверены в том, что хруст в конечном итоге произойдет на каждой незашифрованной полосе, мы не можем этого гарантировать. Полосы, созданные до включения шифрования в состоянии покоя, могут оставаться незашифрованными в течение длительного времени. Иногда, возможно, навсегда.
Например, существует вероятность того, что Avamar может заполнить страйп статическими данными (такими как сбросы MCS, которые содержат конфиденциальную информацию, такую как имена хостов). Если эта полоса никогда не изменяется, она никогда не подвергается сборке мусора или обработке и никогда не шифруется.
Поэтому шифрование в состоянии покоя следует включать только в рамках рабочего процесса установки.
3. Издержки производительности при использовании шифрования в состоянии покоя
Часто возникает вопрос: «Почему ограничение для чтения для чтения диска должно быть снижено в системах с шифрованием в состоянии покоя?»
Для шифрования и расшифровки всех полос, хранящихся в Avamar GSAN, узлам хранения требуется много дополнительных действий.
Специалисты инженерного отдела заметили, что дополнительные издержки на обработку на 50% выше, чем в системе, в которой шифрование в состоянии покоя не включено.
Таким образом, в Avamar, где включено шифрование в состоянии покоя, ограничение «diskreadonly » НЕОБХОДИМО уменьшить с 65% до 40% по умолчанию. Это означает, что для хранения того же объема данных требуется в 1,5 раза больше узлов, чем для узла с незашифрованными полосами.
Это необходимо для обеспечения приемлемой производительности и надежности.
4. Можно ли отключить шифрование в состоянии покоя?
После включения шифрования в состоянии покоя в системе Avamar его нельзя отключить, можно изменить только соли шифрования.
5. См. Как продемонстрировать включение шифрования в состоянии покоя.
В системе Avamar, где включено шифрование в состоянии покоя, должен отображаться вывод, похожий на следующий
:avmaint nodelist --xmlperline=9999 | grep atrestencryption
В команде появляется информация, подобная следующей: shell:
<atrestencryption-status enabled="true" nr-salts="1"/>
Where:
enabled="true" nr-salts="1" указывает на то, что шифрование в состоянии покоя включено.
enabled="false" nr-salts="0" указывает, что шифрование в состоянии покоя не включено.
Примере:-
Это расширенная функция, которая предполагает, что у вас есть опыт работы с обычными командами Avamar, используемыми для обслуживания и поддержки системы. В противном случае не продолжайте. Проконсультируйтесь с квалифицированным специалистом.
В техническом дополнении к Avamar описана команда «avmaint atrestencryption», но не описывается, как безопасно реализовать ее в производственной системе Avamar.
В этой статье описывается реализация и ответы на некоторые распространенные вопросы, связанные с шифрованием в состоянии покоя.
- Какую проблему решает шифрование в состоянии покоя?
- Когда можно включить шифрование в состоянии покоя?
- Издержки производительности при использовании шифрования в состоянии покоя
- Можно ли отключить шифрование в состоянии покоя?
- Процедура включения шифрования в состоянии покоя (доступна только для внутреннего персонала и партнеров Dell)
- Как продемонстрировать, что шифрование в состоянии покоя включено
Эти дедуплицированные («атомарные») блоки данных записываются в .dat файлы. Метаданные и данные индекса записываются в другие страйп-файлы (INX, CHD, CDT и т. д.).
Этот процесс «уничтожает» резервные копии данных, поскольку они разбиваются на мелкие кусочки и разбросаны по всей системе.
Несмотря на то, что целые файлы не могут быть прочитаны, можно просматривать фрагменты файлов. Если мы запустим «строки» на полосе данных, могут быть видны фрагменты данных в виде простого текста.
Ниже приведен пример из одного узла Avamar:
admin@utility:/data01/cur/>: strings 000000000000002E.dat
5900>: Workorder received:
<restore pid="
firm="true" ack
msgver="5"
timeout="10"
="XXXD
ath="Mailbox Database 0904743075" key
sync="fg" cd
d15696dae634d00c120b45e56d0ad2410380d945" mx
6064/776
0/33" wr
<targets>.D
tem_info/BL)
upComponentsDocument.xml
{76fe1ac4-15f7-4bcd-987e-8t
b462fb7}01
_chain
Поскольку блоки данных могут содержать адреса электронной почты, IP-адреса, имена хостов или другую конфиденциальную информацию, некоторые считают это неприемлемым риском безопасности.
1. См. Какую проблему решает шифрование в состоянии покоя?
Шифрование в состоянии покоя шифрует страйпы данных, содержащие данные резервных копий пользователя.
Если кто-то украдет Avamar или его диски, ему потребуется расшифровать данные, прежде чем их можно будет прочитать.
Шифрование неактивных данных не позволяет кому-либо с доступом на уровне приложения Avamar или ОС войти в систему Avamar и восстановить данные. Это можно сделать с помощью пользовательского интерфейса или выполнив команды avtar и восстановив файлы в GSAN на служебном узле.
2. Когда можно включить шифрование в состоянии покоя?
Шифрование неактивных данных можно включить во время процесса установки, чтобы оно действовало с самого начала жизненного цикла Avamar Server.
Во время этого процесса установщик запрашивает соль и пароль для шифрования в состоянии покоя. Если указаны соль и пароль, функция включена.
После инициализации системы можно включить шифрование в состоянии покоя. Однако выполнение команды avmaint после инициализации влияет только на вновь созданные полосы данных и полосы данных, которые впоследствии обрабатываются.
Хотя мы можем быть уверены в том, что хруст в конечном итоге произойдет на каждой незашифрованной полосе, мы не можем этого гарантировать. Полосы, созданные до включения шифрования в состоянии покоя, могут оставаться незашифрованными в течение длительного времени. Иногда, возможно, навсегда.
Например, существует вероятность того, что Avamar может заполнить страйп статическими данными (такими как сбросы MCS, которые содержат конфиденциальную информацию, такую как имена хостов). Если эта полоса никогда не изменяется, она никогда не подвергается сборке мусора или обработке и никогда не шифруется.
Поэтому шифрование в состоянии покоя следует включать только в рамках рабочего процесса установки.
3. Издержки производительности при использовании шифрования в состоянии покоя
Часто возникает вопрос: «Почему ограничение для чтения для чтения диска должно быть снижено в системах с шифрованием в состоянии покоя?»
Для шифрования и расшифровки всех полос, хранящихся в Avamar GSAN, узлам хранения требуется много дополнительных действий.
Специалисты инженерного отдела заметили, что дополнительные издержки на обработку на 50% выше, чем в системе, в которой шифрование в состоянии покоя не включено.
Таким образом, в Avamar, где включено шифрование в состоянии покоя, ограничение «diskreadonly » НЕОБХОДИМО уменьшить с 65% до 40% по умолчанию. Это означает, что для хранения того же объема данных требуется в 1,5 раза больше узлов, чем для узла с незашифрованными полосами.
Это необходимо для обеспечения приемлемой производительности и надежности.
4. Можно ли отключить шифрование в состоянии покоя?
После включения шифрования в состоянии покоя в системе Avamar его нельзя отключить, можно изменить только соли шифрования.
5. См. Как продемонстрировать включение шифрования в состоянии покоя.
В системе Avamar, где включено шифрование в состоянии покоя, должен отображаться вывод, похожий на следующий
:avmaint nodelist --xmlperline=9999 | grep atrestencryption
В команде появляется информация, подобная следующей: shell:
<atrestencryption-status enabled="true" nr-salts="1"/>
Where:
enabled="true" nr-salts="1" указывает на то, что шифрование в состоянии покоя включено.
enabled="false" nr-salts="0" указывает, что шифрование в состоянии покоя не включено.
Примере:-
avmaint nodelist --xmlperline=9999 | grep atrestencryption
<atrestencryption-status enabled="true" nr-salts="1"/>
<atrestencryption-status enabled="true" nr-salts="1"/>
<atrestencryption-status enabled="true" nr-salts="1"/>
<atrestencryption-status enabled="true" nr-salts="1"/>
В системе, где шифрование в состоянии покоя выполняется при инициализации или до создания полос данных, после создания и шифрования полос они содержат только тарабарщину, если мы попытаемся прочитать их с помощью команды «strings», как и раньше.
admin@utility:/data01/cur/>: strings 0000000000000656.dat | less
p T7T5s| 1 N © M1 c]LP ,iCE ol v < #6U, ~ )XW D TU ( A: ) ~ ,t} '
3ET S _b kE l>5Q T yc ®x` `' s Kg 4g sh . 8 c! e , A M a M} kX; A 1v z
_ { !{a X JUS * nD 8+ TE2Tf S h,37 QX G * " ®u +8 ' !{+2w 6 PE
Additional Information
Часто задаваемые вопросы:
Как настроить системы Griffin (комбинацию Avamar и DataDomain) с этой функцией?
И Avamar, и Data Domain должны быть настроены с шифрованием в состоянии покоя отдельно.
Dell EMC Data Domain Encryption — часто задаваемые вопросы
Уровень 40% diskreadonly по-прежнему применим к новейшему оборудованию Avamar Data Store?
В сентябре 2016 года были проведены консультации с инженерами по этому поводу. Значение 40% для «diskreadonly » применяется к новейшему оборудованию (Gen 4T). Руководство по продукту рассматривает запрос, но не планирует пересматривать лимит.
Если у заказчика имеется пара реплицируемых серверов Avamar, обе системы должны быть настроены с помощью E.A.R.?
Нет, каждая система независима. Когда данные в зашифрованной системе реплицируются в незашифрованный Avamar, целевая система создает незашифрованные полосы.
Аналогичным образом, если незашифрованный Avamar реплицирует данные в зашифрованную систему, резервные копии записываются на зашифрованные полосы.
Можно ли отключить шифрование в состоянии покоя после включения?
Нет. Для этого данные необходимо реплицировать на сервер Avamar, где не задано шифрование в состоянии покоя.
Если у заказчика имеется пара реплицируемых серверов Avamar, обе системы должны быть настроены с помощью E.A.R.?
Нет, каждая система независима. Когда данные в зашифрованной системе реплицируются в незашифрованный Avamar, целевая система создает незашифрованные полосы.
Аналогичным образом, если незашифрованный Avamar реплицирует данные в зашифрованную систему, резервные копии записываются на зашифрованные полосы.
Можно ли отключить шифрование в состоянии покоя после включения?
Нет. Для этого данные необходимо реплицировать на сервер Avamar, где не задано шифрование в состоянии покоя.
Produse afectate
AvamarProduse
Avamar, Avamar ServerProprietăți articol
Article Number: 000046249
Article Type: How To
Ultima modificare: 14 Jul 2026
Version: 6
Găsiți răspunsuri la întrebările dvs. de la alți utilizatori Dell
Servicii de asistență
Verificați dacă dispozitivul dvs. este acoperit de serviciile de asistență.