1.1.8 暗号化鍵のバックアップ機能
バックアップ暗号化鍵 暗号化鍵のバックアップ機能について説明します。
(1) 暗号化鍵の一次バックアップと二次バックアップ
暗号化鍵のバックアップには、一次バックアップと二次バックアップがあります。
-
暗号化鍵の一次バックアップは、ストレージシステムによって自動的に行われます。 一次バックアップでは、暗号化鍵はストレージシステム内のキャッシュフラッシュメモリにバックアップされます。
-
暗号化鍵の二次バックアップは、SVPあり構成の場合はStorage Navigator、SVPなし構成の場合はREST APIを使用してユーザが実施します。このため、二次バックアップした暗号化鍵は、ユーザが責任を持って保管してください。二次バックアップは、一次バックアップが利用できなくなった場合、暗号化鍵をリストアするときに必要となります。二次バックアップを実施するには、専用の操作権限(セキュリティ管理者(参照・編集)ロール)が必要です。
- 注意
-
一次バックアップでバックアップした暗号化鍵が使用できず、かつ、二次バックアップでバックアップした暗号化鍵も使用できない場合は、データの復号化ができません。
暗号化鍵を作成したらすぐに二次バックアップを行ってください。また、データの有用性を確実にするためにも、定期的に(例えば週に一回)バックアップを行ってください。
二次バックアップには、管理クライアント内にファイルとしてバックアップする方法と、鍵管理サーバに接続してバックアップする方法があります。
暗号化鍵を管理クライアント内にファイルとしてバックアップするときはパスワードを設定します。このパスワードは暗号化鍵をリストアするときに必要です。SVPあり構成の場合、このパスワードに使用する最小文字数を[パスワードポリシー編集(暗号化鍵バックアップ)]画面で設定できます。鍵管理サーバに接続してバックアップしている場合、鍵管理サーバがバックアップできる鍵の数には上限があります。このため、鍵管理サーバ上の暗号化鍵は定期的に削除してください。
暗号化鍵のバックアップは、作成済みの暗号化鍵に対して一括して実施されます。
作成済みの暗号化鍵および認証用鍵がない状態では、暗号化鍵のバックアップはできません。また、SVPあり構成でStorage Navigatorから暗号化鍵をバックアップするときは、タスクに他の処理が登録されていないことを確認してください。タスクに他の処理が登録されていると暗号化鍵のバックアップができません。
(2) 暗号化鍵の自動バックアップ
鍵管理サーバを使用している場合は、暗号化鍵を作成後、自動的にバックアップされます。これを自動バックアップといいます。
鍵管理サーバを使用していない場合は、自動バックアップは実施されません。
(3) 暗号化鍵の定期バックアップ
[暗号化環境設定編集]画面で暗号化鍵をバックアップしたい時間を指定すると、鍵管理サーバ上に最新のバックアップが存在しない場合、毎日指定した時間に、自動的に暗号化鍵が鍵管理サーバにバックアップを試みます。これを定期バックアップと呼びます。
- メモ
-
最新のバックアップがすでに存在する場合、定期バックアップはタスクとしてキューイングされずにスキップされます。
このとき、[タスク]画面や監査ログには出力されませんが、問題ありません。定期バックアップが必要なのに失敗した場合は、監査ログで確認できます。
定期バックアップは、ユーザがStorage Navigatorにログインしていなくても実行されます。
[暗号化環境設定編集]画面で指定した時間になると、暗号化鍵のバックアップ処理がタスクとしてキューイングされ、キューイングされた順にタスクが実行されます。キューイングされたタスクは[タスク]画面で確認できます。すでに別のタスクがキューイングされている場合、定期バックアップは、そのタスクが完了するまで実行されません。このため、実際に定期バックアップが実行される時間が、[暗号化環境設定編集]画面で指定した時間と異なる場合があります。また、鍵管理サーバ上に最新のバックアップがすでに存在する場合、同じ暗号化鍵を再度バックアップする必要がないため、定期バックアップはスキップされます。
定期バックアップを実行するには、定期バックアップを実行する専用のユーザ(定期バックアップユーザと呼びます)を作成した上で、[暗号化環境設定編集]画面で定期バックアップユーザのユーザ名とパスワードを入力する必要があります。ユーザの作成については、Hitachi Device Manager - Storage Navigatorユーザガイドを参照してください。
- メモ
-
定期バックアップの結果は[タスク]画面および監査ログで確認できます。定期バックアップの結果を定期的に確認されることをお勧めします。監査ログは、定期バックアップユーザの名前で出力されます。
キューイングされた定期バックアップ以外のタスクが完了せず、定期バックアップのタスクが実行されない状態で、次の定期バックアップの時間になった場合、その定期バックアップのタスクはキューイングされず、定期バックアップは一回だけ実行されます。例えば、定期バックアップの時間を午前0時と午前2時に指定した状態で、午前0時より前に実行した定期バックアップ以外のタスクが午前3時に完了した場合、午前2時の定期バックアップのタスクはキューイングされず、定期バックアップは午前3時から一回だけ実行されます。
定期バックアップを停止する場合は、[暗号化環境設定編集]画面の[鍵管理サーバへ暗号化鍵定期バックアップを有効にする]に付いているチェックマークを解除して定期バックアップを無効にしてください。
定期バックアップを実行すると古い暗号化鍵は削除されます。このため、定期バックアップでバックアップした暗号化鍵は常に一つになります。手動でバックアップした暗号化鍵は削除されません。定期バックアップでバックアップした暗号化鍵は、手動でバックアップした暗号化鍵と同様に、暗号化鍵の状態を確認したり、リストアおよび削除ができます。
SVPが停止している間は、定期バックアップが実行されません。SVPの起動が完了した後、定期バックアップの時間になると、暗号化鍵のバックアップ処理がタスクとしてキューイングされます。
- 注意
-
定期バックアップは、補助的な機能です。このため、必ず自動または手動によるバックアップを併せて実行してください。特に、次の操作をしたときは必ずバックアップを実行してください。
-
暗号化鍵の作成
-
- 注意
-
定期バックアップユーザの編集(ユーザ削除、パスワード変更、ロール変更など)を行うと、定期バックアップが失敗する可能性があります。このため、定期バックアップユーザを編集したときは、再度[暗号化環境設定編集]画面で定期バックアップユーザを設定してください。
- 注意
-
Encryption License Keyプログラムプロダクトのライセンスが期限切れになるか、または削除された場合は、定期バックアップを実行できません。定期バックアップを実行するにはEncryption License Keyプログラムプロダクトのライセンスを有効にしてください。
- 注意
-
保守用PCまたはSVPのタイムゾーンを変更したときは、必ず[Storage Device List]画面ですべてのストレージシステムのサービスを再起動してください。サービスを再起動しない場合、設定した時刻どおりに定期バックアップが実行されません。
- 注意
-
定期バックアップの実行中は、保守員によるストレージシステムの保守作業やSVPの操作ができなくなります。 保守作業の時間と定期バックアップの時間が重なる場合は、定期バックアップを一時的に解除するか、設定を変更してください。