Data Domain：加密常見問題

目錄

加密組態

問題：Data Domain 上如何設定靜態資料加密 （DARE）？

1. 新增加密授權。
   1. 具有有效加密授權的授權檔案
   2. 使用以下命令，使用可用的授權檔案更新 Data Domain 中的電子授權：

      # elicense update

2. 新增安全官並啟用安全官授權
   1. 使用以下命令新增具有「security」角色的使用者 （如果尚不存在）：

      # user add <username> role security

   2. 以安全官身分登入並執行命令，啟用安全官授權：

      > authorization policy set security-officer enabled

3. 切換回管理員帳戶，並執行下列命令以啟用 DARE：

   # filesys encryption enable

問題：DARE 支援哪些平台？

問題：如何在 Data Domain 上以明文形式儲存資料？

# filesys encryption disable

問題：DARE 支援哪些備份應用程式和通訊協定？

問題：可以使用哪些加密演演演算法？

問題：如何更改加密演演演算法？

# filesys encryption algorithm set {aes_128_cbc | aes_256_cbc | aes_128_gcm | aes_256_gcm}

問題：啟用加密後，如何確保對預先存在的資料進行加密？

# filesys encryption apply-changes

問題：如何停用加密？

# filesys encryption disable

問題：哪些加密命令需要檔案系統重新開機才能生效？

問題：哪些加密命令需要禁用檔案系統才能設置或使用它們？

一般加密問題

問題：DARE 是否支援所有 Data Domain 系統？

問題：如何在 Data Domain 系統上執行密碼編譯？

問題：Data Domain 使用什麼版本的 BSafe？

問題：在 DDOS 中設定加密的可用使用者介面有哪些？

問題：是否可以對數據進行選擇性加密？只喜歡一個 mtree 或檔案？

問題：是否有任何加密密鑰或帳戶密碼以明文或弱密碼傳輸或存儲，例如當實體在數據檔、程式或身份驗證目錄中進行身份驗證時？

問題：Data Domain 使用什麼版本的 OpenSSL？

問題：DARE 如何防止來自使用者和應用程式的資料存取？

• 待用資料加密僅關於加密資料 這些資料位於磁碟子系統上加密或解密發生在壓縮層。使用者或應用程式會傳送和接收明文資料至 Data Domain，但任何實際位於 Data Domain 上的資料都會加密。
• 所有加密都在檔案系統和命名空間下進行，對使用者或應用程式不可見。如果使用者或應用程式已具有對檔或目錄的授權訪問許可權，則無論加密如何，都可以以其本機格式讀取數據。
• Data Domain 加密的設計使得如果入侵者規避其他網路安全控制並取得對加密資料的存取權，如果沒有適當的密碼編譯金鑰，該人將無法讀取和使用該資料。

問題：重複資料刪除後是否會進行加密？

問題：Data Domain 如何確保資料的安全性？

問題：加密會產生哪些警示？

• 當存在入侵的加密金鑰時
• 當加密金鑰表已滿，且無法再將金鑰新增至系統時
• 當自動金鑰匯出失敗時
• 當自動金鑰輪替失敗時
• 停用加密時
• 變更系統密碼片語時

問題：DDOS 是否有任何安全性認證？

問題：加密金鑰儲存在何處？

問題：如果有人從 Data Domain 拉出硬碟，他們能從中解密資料嗎？

問題：恢復（尤其是災難恢復）需要哪些加密密鑰和密碼？

問題：在將系統移至其他位置之前，如何鎖定檔案系統？

1. 停用檔案系統：

   # filesys disable

2. 鎖定檔案系統並輸入新密碼片語 （這需要安全性使用者的驗證）：

   # filesys encryption lock
   This command requires authorization by a user having a 'security' role.
   Please present credentials for such a user below.
           Username: secuser
           Password:
   Enter the current passphrase:
   Enter new passphrase:
   Re-enter new passphrase:
   Passphrases matched.
   The filesystem is now locked.

   1. 不得遺失或忘記新密碼片語。如果沒有此密碼片語，檔案系統將無法解除鎖定，這表示無法存取 Data Domain 上的資料。
3. 若要在系統到達遠端位置時解除鎖定，請使用以下命令：

   # filesys encryption unlock
   This command requires authorization by a user having a 'security' role.
   Please present credentials for such a user below.
           Username: secuser
           Password:
   Enter the passphrase:
   The passphrase has been verified. Use 'filesys enable' to start the filesystem.

4. 檔案系統現在可以啟用並正常使用。

問題：是否”storage sanitize命令與檔案系統加密有任何關係嗎？

問題：EDP 系統是否支援線上加密？

系統密碼片語

問題：什麼是系統密碼？

問題：何時使用密碼片語？

問題：密碼片語會用於 Data Domain 的安全傳輸？

問題：如果密碼片語變更，會發生什麼情況？是否仍可存取資料？

問題：如何確認系統上是否已設定密碼片語？

問題：如果密碼片語遺失或遺忘，該怎麼辦？

問題：是否有任何機制可以重置丟失的系統密碼？

問題：是否有選項可避免將系統密碼片語儲存在 Data Domain 上？

嵌入式金鑰管理員 （EKM）

# filesys encryption embedded-key-manager <option>

問題：EKM 是否支援金鑰輪換？

問題：嵌入式金鑰管理功能需要付費嗎？

問題：是否可以從本地金鑰管理切換到外部金鑰管理？

Key-ID     Key MUID                                                                    State                     Key Manger Type
1               be1                                                                    Deactivated               DataDomain

2               49664EE855DF71CB7DC08309414C2B4C76ECB112C8D10368C37966E4E2E38A68       Activated-RW              KeySecure

問題：禁用或啟用金鑰輪換時會發生什麼情況？

外部金鑰管理器

問題：Data Domain 支援哪些外部金鑰管理程式？

• Gemalto KeySecure （在 DDOS 7.2 版中新增支援）
• Vormetric （在 DDOS 版本 7.3 中新增支援）
• CipherTrust （在 DDOS 版本 7.7 中新增支援）
• IBM GKLM （在 DDOS 版本 7.9 中新增支援）

問題：是否需要單獨的許可證才能與外部金鑰管理器集成？

問題：一次可以使用多少個金鑰管理器？

問題：哪裡可以找到有關如何配置 KMIP 外部金鑰管理程式的更多資訊？

問題：如何在 Data Domain 中為外部金鑰管理程式管理憑證？

問題：什麼是認證機構？

問題：什麼是 CA 簽署憑證？什麼是本機 CA 簽署憑證？

問題：如何在 Data Domain 上建立憑證簽署要求？

# adminaccess certificate cert-signing-request

問題：是否可以在金鑰管理器之間切換？

問題：當外部金鑰管理員連線中斷時，會發生什麼情況？我的資料是否仍可存取？

問題：有沒有辦法只將金鑰儲存在外部金鑰管理程式中，而非 Data Domain 上？

問題：與 KMIP 整合是否會對效能造成任何影響？

問題：是否可以針對環境中的選定 Data Domain 使用 KMIP 解決方案？

問題：Data Domain 和 KMIP 之間的通訊是否安全？

金鑰生命週期管理

問題：Data Domain 加密有哪些金鑰管理功能？

問題：Data Domain 上有哪些不同的金鑰狀態？

• Activated-RW：在任何指定時間，Data Domain 上只有一個處於此狀態的金鑰，它用於讀取和寫入資料。垃圾回收過程也使用此金鑰來重新加密容器。
• Pending-Activated：在任何指定時間，Data Domain 上只有一個處於此狀態的金鑰。這可識別將成為 Activated-RW 在下一次檔案系統重新啟動後。此狀態僅在啟用加密時存在。 Pending-activated 金鑰不會在任何其他時間創建。
• Activated-RO：外部金鑰管理員可以有多個已啟動金鑰。最新的金鑰位於 Activated-RW，其餘的都處於這種狀態。當金鑰無法與金鑰管理員同步時，金鑰可能會在 Data Domain 進入此狀態。
• Deactivated：這是用於讀取 Data Domain 系統上的現有資料。
• Compromised：當外部金鑰管理器金鑰洩露時，它會在下次金鑰同步後更改為此狀態。
• Marked-For-Destroyed：當客戶將金鑰標記為銷毀時，金鑰將更改為此狀態。執行垃圾回收時，所有容器都以 Marked-For-Destroyed 金鑰會使用 Activated-RW 鍵。
• Destroyed：按鍵位於 Marked-For-Destroyed 當沒有與之關聯的數據時，狀態會進入此狀態。
• Destroyed-compromised：按鍵位於 Compromised 當沒有與之關聯的數據時，狀態會進入此狀態。

問題：是否可以匯出加密金鑰以進行災難恢復？

# filesys encryption keys export

# filesys encryption keys import <filename>

問題：KMIP 產生的金鑰是否儲存在 Data Domain 上？

問題：KMIP 裝置中的關鍵狀態變更會如何套用至 Data Domain？

問題：是否可以手動同步 Data Domain 和 KMIP 之間的金鑰狀態？

問題：是否可以變更 Data Domain 從 KMIP 收到金鑰更新的時間？

問題：Data Domain 上儲存的金鑰數量是否有限制？

問題：Data Domain 上不同的資料集是否可以使用不同的金鑰？

問題：達到最大金鑰限制時是否有任何通知？

問題：如何清除有關最大金鑰限制的警報？

問題：您是否能看到與 Data Domain 上特定金鑰相關的資料量？

問題：您是否能在 Data Domain 上看到金鑰的年限？

問題：即使使新金鑰生效的時間段已過，舊金鑰是否有效？

問題：當 Data Domain 上沒有與加密金鑰相關聯的資料時，是否會自動刪除加密金鑰？

問題：即使 Data Domain 上有與其關聯的資料，是否可以刪除金鑰？

問題：如果金鑰在 KMIP 上刪除，該金鑰是否也會從 Data Domain 的金鑰清單中刪除？

問題：在多站點 Data Domain 環境中，是否每個位置都需要 KMIP？

問題：如果金鑰遭到入侵，是否有擷取使用舊金鑰加密的資料的程序？

1. 跑”filesys encryption keys sync」。
2. 跑”filesys encryption apply-changes」。
3. 開始檔案系統清理。
   1. 清理會使用較新的金鑰，將使用遭入侵金鑰加密的所有資料重新加密。
   2. 清理完成後，舊金鑰狀態會變更為 Compromised-Destroyed。
4. 刪除舊金鑰。

加密與複寫

問題：Data Domain 複寫是否受 DARE 支援並可互用？

問題：來源和目的地系統是否必須執行相同的 DDOS 版本才能使用加密？

問題：複寫如何與加密搭配運作？

• 根據客戶想要實現的目標，可以在源或目標上獨立獲得許可或啟用 DARE。
• 當來源和目的地都啟用加密時：
  • 攝取到源的數據使用源系統加密密鑰進行加密。
  • 源解密本地數據，使用目標系統加密密鑰對其進行重新加密，然後將加密數據複製到目標。
• 當來源已停用加密，且目的地已啟用加密時：
  • 引入到源的數據未加密。
  • 複製時，源使用目標系統的加密密鑰加密數據，然後將加密數據複製到目標系統。
• 當來源已啟用加密，且目的地已停用加密時：
  • 攝取到源系統的數據使用源系統的加密金鑰進行加密。
  • 來源解密資料，然後將未加密的資料複製到目的地系統。
• 如果在設置複製上下文后在複製副本上啟用了加密，那麼現在正在複製的任何新分段都將在副本的源進行加密。在啟用加密之前駐留在副本上的任何段都將保持未加密狀態，除非在目標上應用更改並運行清理。

• 來源和目的地系統必須執行相同的 DDOS 版本。
• 兩者上都必須啟用或停用加密。加密組態中也不能有不相符的情況。源和目標的加密金鑰相同。
• 當來源和目的地都啟用加密時：
  • 攝取至來源系統的所有資料都使用來源系統加密金鑰進行加密。
  • 複製時，源將加密數據發送到處於加密狀態的目標系統。
  • 目標與源具有相同的鍵，因為集合複製完全是關於源系統的精確副本。
  • 由於目的地為唯讀系統，因此無法將任何資料寫入複寫以外的目的地。
• 當來源和目的地都已停用加密時：
  • 引入到源系統的數據未加密。
  • 複製時，源以未加密狀態發送數據，並且在目標位置保持未加密狀態。
  • 由於目的地為唯讀系統，因此無法將任何資料寫入複寫以外的目的地。

問題：目的地的金鑰是否會無限期地儲存在來源 Data Domain 上？

問題：建立複製上下文後，是否可以在集合複製系統上啟用加密？

問題：DARE 是否可以同時啟用 Data Domain 複寫的線上加密功能？

問題：如果同時啟用DARE和OTW加密會怎樣？

問題：在源和目標上啟用加密時，它們是否必須具有相同的密碼？

問題：在目標上啟用加密后，複製的數據和來自其他存取點（例如通過本地備份）的數據是否都已加密？有沒有辦法在目標上分隔兩者，以便僅加密複製的目錄？

問題：如何在 MREPL 或 MFR 期間，來源和目的地之間的金鑰交換進行？

問題：OTW加密使用什麼類型的演演演算法來加密複製流量？

問題：無需重新啟動檔案系統即可進行金鑰輪換是否適用於所有類型的複製？

問題：在沒有證書或 PKI 金鑰對的情況下，在金鑰交換期間如何保護目標的加密金鑰？

問題：複製配對中的兩個系統是否都需要使用相同的外部金鑰管理器（如 KMIP 金鑰管理器）解決方案，或者其中一個系統是否可以使用外部密鑰管理器，而另一個系統可以使用嵌入式密鑰管理器？

加密與遷移

問題：啟用 DARE 的系統是否支援資料遷移？

問題：啟用 DARE 時，是否支援主動層和雲端層資料遷移？

問題：哪些加密設置會保留為遷移的一部分？

問題：遷移期間，來源和目的地之間會執行哪些加密相容性檢查？

問題：EDP 系統之間是否支援遷移？

加密和雲端分層

問題：雲端分層是否支援加密？

問題：雲端分層是否支援 KMIP 和外部金鑰管理程式？

問題：可以在雲中以什麼粒度啟用加密？

問題：雲單元是否具有獨立金鑰？

問題：是否可以從雲中刪除金鑰？

問題：雲端裝置的資料加密金鑰由何處管理？

問題：如何在災難恢復過程中恢復雲密鑰？

問題：只有雲端層啟用加密時，資料移動是否可執行？

問題：外部金鑰管理員是否可以與雲端層一起使用？

加密與垃圾收集

問題：垃圾回收 （GC） 進程在 DARE 中扮演什麼角色？首次啟用加密時是否會對效能造成影響？

問題：正在進行的清理週期是否會影響效能？

問題：加密現有數據需要多長時間？

加密和換用機頭

問題：如果已設定 DARE 的 Data Domain 進行人頭交換，是否仍可使用新的磁碟頭單元存取磁碟？

問題：如果在換用機頭操作時丟失密碼，該怎麼辦？

加密與效能

問題：觀察到使用 DARE 時，觀察到對儲存裝置耗用有何影響？

問題：使用 DARE 時觀察到的對輸送量 （寫入和讀取） 有何影響？

• 首次完整：寫入效能下降 ~10%
• 增量：寫入時效能下降 ~5%
• 還原：讀取效能下降 5-20%

• 首次完整：寫入效能下降 10-20%
• 增量：寫入效能下降 5-10%
• 還原：讀取效能下降 5-20%

最佳實務

問題：金鑰輪替原則的最佳實務為何？

問題：如果多個 Data Domain 使用相同的 KMIP 伺服器，KMIP 金鑰類別的最佳實務是什麼？