AIX JFS2 暗号化ファイル・システムのバックアップ
AIX® JFS2 暗号化ファイル・システム (EFS) を使用して、平文またはロー・フォーマットでファイルをバックアップします。 平文形式の場合は、ファイルは、読み取られるにつれて EFS によって復号されます。 ロー形式の場合は、データは復号されません。 デフォルトはロー形式になりますが、efsdecrypt オプションを yes に設定すると、平文のバックアップを取得することができます。
このタスクについて
重要: EFS で暗号化されたファイルを含むバックアップを実行する場合は、 必ず efsdecrypt オプションが正しく指定されていることを確認する必要があります。 2 つの増分バックアップ間での efsdecrypt オプション値を変更した場合は、 それらのバックアップが最後のバックアップ以降に変更されていなくても、 EFS ファイル・システム上のすべての暗号化されたファイルは、再度、バックアップされます。 例えば、以前に未加工としてバックアップされた暗号化ファイルの増分バックアップを実行している場合は、 efsdecrypt が いいえとして指定されていることを確認してください。 efsdecrypt を はいに変更すると、すべてのファイルが未変更の場合でも平文で再度バックアップされます。したがって、このオプションを慎重に使用するようにしてください。
暗号化されたファイルを EFS をサポートしないワークステーションまたは EFS が活動状態でないファイル・システムにリストアしようとすると、エラー・メッセージが書き込まれ、そのファイルはスキップされます。
EFS のバックアップに平文の暗号化を使用することには、理由がいくつかあります。
- このタイプの暗号化解除は、 IBM® Storage Protect バックアップ/アーカイブ・クライアント暗号化または別のタイプのハードウェア暗号化 (テープ・システムなど) を使用する場合に役立ちます。
- データがプラットフォームまたは暗号化方式とは独立して保管されるため、データの長期アーカイブには、平文を使用できます。
ファイルを平文でバックアップする場合には、以下のことを考慮する必要があります。
- バックアップ/アーカイブ・クライアントを起動するユーザーはその復号ができなければなりません。
- そのユーザーはファイルへの読み取り権限は持てますが、鍵へのアクセス権限を持つことはできません。
以下のシナリオでは、エラー・メッセージが出されます。
手順
- ユーザーはルート・ガード・モードで実行中であり、EFS には 2 つのタイプのルートの概念があります。 ルート管理は従来のモードです。 ガード・モードのルートは、ユーザーがファイルの所有者であるかファイル・グループのメンバーでない限り、暗号化されていないデータにはアクセスできません。
- ユーザーはルート以外のユーザー ID で実行中であり、自身が読み取り権限を持つファイルのアーカイブを試みていますが、そのユーザーはファイルの所有者でもなく、ファイル・グループのメンバーでもありません。 EFS はこのデータを復号することを許可しません。
結果
EFS 生データをバックアップする際の考慮事項は次のとおりです。
- バックアップ/アーカイブ・クライアントはクライアントの暗号化設定をサポートしません。これにより暗号化が二重に行われることはなくなり、クライアントのみで暗号化が行われます。 サーバーはデータが暗号化されていることを認識しないため、テープ・ドライブなどで行われる暗号化もそのまま実施されます。
- クライアントは圧縮設定をサポートしないため、クライアントはデータを圧縮しません (圧縮しようとすることもありません)。
- クライアントは鍵ストア・ファイルを自動的にバックアップまたはリストアしません。 暗号化されたファイルをリストアするときは、鍵ストアも暗号化しないとデータを復号できません。
ヒント:
- 鍵ストアを保護するために、/var/efs の内容が定期バックアップに組み込まれていることを確認してください。
- 鍵ストア・データには、バージョン数に制限のない IBM Storage Protect ストレージ・ポリシーを使用してください。
- ロー・モード (デフォルト) でバックアップされた暗号化ファイル・システム (EFS) ファイルは、 V5.5より前のバックアップ/アーカイブ・クライアント、または別の UNIX プラットフォーム上のクライアントによってリストアすることはできません。