Archiviazione password sicura

Modifica in linea

A partire dalla versione IBM Storage Protect 8.1.2 e dalla versione 7.1.8, la posizione della password IBM Storage Protect è cambiata.

Nella versione 8.1.0 e nella versione 7.1.6 e nei client precedenti, la password IBM Storage Protect è stata memorizzata nel registro di Windows per client Windows e memorizzata nel file TSM.PWD sui client UNIX e Linux® .

A partire dalla versione 8.1.2 e dalla versione 7.1.8, i keystore IBM® Global Security Kit (GSKit) vengono utilizzati per memorizzare tutte le password IBM Storage Protect . Il processo di importazione dei certificati server è semplificato. Per informazioni sull'importazione dei certificati server, consultare Configuring IBM Storage Protect client/server communication with Secure Sockets Layer.

Quando si esegue l'aggiornamento al client IBM Storage Protect 8.1.2 o versioni successive da un client precedente che utilizza le ubicazioni della vecchia password, le password esistenti vengono migrate nei seguenti file nel nuovo archivio delle password:

TSM.KDB: Il file che memorizza le parole d'ordine codificate.
TSM.sth: Il file che archivia la chiave di codifica casuale utilizzata per codificare le password nel file TSM.KDB. Questo file è protetto dal file system. Questo file è necessario per le operazioni automatiche.
TSM.IDX: Un file indice utilizzato per tracciare le password nel file TSM.KDB.

Sistemi operativi Windows Sistemi operativi Linux Per client Data Protection for VMware , la password di gestione del server GUI Data Protection for VMware viene migrata in un keystore.

Ubicazioni delle password su client Windows

Su client Windows, le password nella chiave di registro SOFTWARE\IBM\ADSM\CurrentVersion\BackupClient\Nodes e nella chiave di registro SOFTWARE\IBM\ADSM\CurrentVersion\Nodes vengono migrate al nuovo archivio delle password.

Le voci della password in queste chiavi di registro vengono eliminate dopo la migrazione.

Il server migrato e le password di crittografia vengono memorizzati negli archivi delle password in sottodirectory separate della directory C:\ProgramData\Tivoli\TSM\baclient (una directory nascosta). Separare le password del server in questo modo consente a un amministratore di concedere a un utente non amministrativo l'accesso alle singole password senza fornire a tale utente l'accesso a tutte le altre password. Le seguenti directory sono esempi di ubicazioni di file di password:

C:\ProgramData\Tivoli\TSM\BAClient\NodeName\ServerName
C:\ProgramData\Tivoli\TSM\BAClient\(VCB)\ServerName
C:\ProgramData\Tivoli\TSM\BAClient\(DOMAIN)\ServerName
C:\ProgramData\Tivoli\TSM\BAClient\(FILER)\ServerName

L'accesso ai file stash delle password (TSM.sth) è limitato al creatore del keystore, degli amministratori e del sistema. È disponibile un programma di utilità (dsmcutil addace) per consentire agli utenti Windows di modificare facilmente gli elenchi di controllo accessi dei file di password. Per ulteriori informazioni, consultare ADDACE e DELETEACE.

Ubicazioni delle password su client UNIX e Linux

Su client UNIX e Linux , le password esistenti nei file TSM.PWD vengono migrate nel nuovo archivio delle password nella stessa ubicazione. Per gli utenti root, l'ubicazione predefinita per l'archivio delle password è /etc/adsm. Per gli utenti non root, l'ubicazione dell'archivio password è specificata dall'opzione passworddir .

Il file TSM.PWD viene eliminato dopo la migrazione.

Nota: il nuovo archivio delle password non si trova nell'ubicazione predefinita (/etc/adsm) nelle seguenti situazioni:

Il file TSM.PWD non esiste nella directory /etc/adsm .
Il file delle opzioni specifica un'opzione passworddir che punta a un'ubicazione differente.

L'agente di comunicazione attendibile non è più disponibile

TCA (trusted communications agent), precedentemente utilizzato da utenti non root nella versione 8.1.0 e nella versione 7.1.6 e nei client precedenti, non è più disponibile. Gli utenti root possono utilizzare i metodi seguenti per consentire agli utenti non root di gestire i propri file:

Metodo help desk: Con il metodo help desk, l'utente root esegue tutte le operazioni di backup e ripristino. L'utente non root deve contattare l'utente root per richiedere il backup o il ripristino di determinati file.
Metodo utente autorizzato: Con il metodo utente autorizzato, a un utente non root viene concesso l'accesso in lettura / scrittura all'archivio delle password utilizzando l'opzione passworddir per puntare a un'ubicazione della parola d'ordine leggibile e scrivibile dall'utente non root. Questo metodo consente agli utenti non root di eseguire il backup e il ripristino dei propri file, utilizzare la cifratura e gestire le password con l'opzione passwordaccess generate .
Per ulteriori informazioni, vedi Abilita gli utenti non root a gestire i propri dati.

Se nessuno di questi metodi è soddisfacente, è necessario utilizzare i client precedenti che includevano il TCA.

Ubicazioni password in ambienti cluster

Se si sta utilizzando il client in un ambiente cluster (CLUSTERNODE YES nel file delle opzioni client), i file delle password vengono memorizzati in una sottodirectory del percorso del file delle opzioni client. Il nome della sottodirectory è:

NODES\NodeName\ServerName

Per memorizzare un file di password codificato quando si configura un ambiente cluster, utilizzare l'opzione clustersharedfolder per specificare l'ubicazione della directory in cui memorizzare il file di password codificato. Per ulteriori informazioni, vedere Clustersharedfolder.

In una configurazione cluster, il file di opzioni viene memorizzato su un disco cluster in modo che il nodo di sostituzione possa accedervi. I file di password devono essere memorizzati anche su un disco cluster in modo che, dopo un errore, la password del client di backup - archiviazione generata sia disponibile per il nodo di sostituzione.

Ad esempio, se il file dsm.opt si trova nella directory c:\ClusterStorage\Volume1\SPData , il nome nodo è Cluster-Be il nome server è Bigdata, l'ubicazione per i file di password è:

C:\ClusterStorage\Volume1\SPdata\Nodes\Cluster-B\Bigdata