SMAのシリアルナンバーによるバックアップ署名について (4370981)

KACE SMAのバックアップ復元プロセスのセキュリティメカニズムであるバックアップ署名について説明します。

KACE SMA v13.1以上ではバックアップファイルの暗号化キーとしてアプライアンスのシリアル番号を使用します。
この新しい仕組みにおいて、VMのシリアル番号はそのVMにたいして固有の値であるため、バックアップデータが作成される際オフボード（SMA外）に保存されたバックアップイメージの改ざんを防止します。
これによりバックアップの改ざんを防止し、許可のある管理者のみがリストアのアクションを実行できるようになります。

SMAの運用において移行あるいは新しいVMでのバックアップの復元( 移行する手順 )を必要とする状況として次のものがあげられます :

• 元のアプライアンスが使用不可になってからリカバリできない.
• 異なるプラットフォーム、例えば: 
  • 物理アプライアンスか仮想/クラウド環境
  • 異なる仮想化ソリューション(VMWare/Azure/Hyper-V/Nutanix)への切り替え
• 現在稼働中の仮想アプライアンスの元イメージが古いため（var,tmp,Swapパーティションが小さい ）
• アップグレード前のレグレッションテストRegression testing などの目的で テスト/開発用の2台目のアプライアンスVMを作成する

v13.1以上のバージョンで取得されたバックアップから復元する際の手順および考慮事項

前提条件:

• アプライアンス上でバックアップが完了して外部にも保存されていることを確認する
• アプライアンスのシリアルナンバーを確認しておくこと (VM/筐体ごとに固有です。新しいVMでは別のシリアルナンバーを持つことに注意）。このシリアルナンバーは 次のような方法で確認することができます。:
  • 管理者UI右上のヘルプアイコン（○の中に？; v13.2以前では"サポートが必要な場合"のヘルプバー）をクリックし、情報アイコン（○の中にi ）をクリックする
  • サーバーアクティビティログをダウンロードして（取得手順）、kbox_logs.tgzを解凍し "kbox\kboxwww\logs" にある klicensepinger_output ファイルを読む
  • アプライアンスが落ちてしまうと上のいずれも使用できません。サポートにご連絡いただければ内部から調べられる場合があります。

  非常に重要: シリアルナンバーは大文字小文字を区別します。ほとんどの場合すべて大文字です。

移行作業/バックアップデータからの復元

• 通常はベースと差分のバックアップデータは通常SMAの外へ保管されており、移行または復元を開始するにはアプライアンスへのファイルのアップロードが必要です。:
  • WebUI経由でアップロードする方法（制限: ベース、差分いずれも4GB以下の場合のみ）:

    

    • ベースと差分それぞれを割り当て、バックアップシリアルナンバーを入力したらファイルをアップロードします。
    • バックアップシリアルナンバー欄にはバックアップデータを作成したアプライアンス仮想マシンのシリアルナンバーを入力します。

• FTPを介してアップロードする方法 (ベースファイルと差分ファイルのどちらかあるいは両方が4GBを超えるサイズの場合)
  • FTP経由のバックアップのアップロードを可能にするには事前にセキュリティ設定のFTP書き込みを有効化するオプションの設定 またはnetdiagの startftpd -w で有効化する必要があります。
  • FTP経由で新しいアプライアンスにバックアップのベースファイルおよび差分ファイルをアップロードする場合には、復元を成功させるためのシリアルナンバーを含むファイル（シリアルナンバーファイル）を作成して一緒にアップロードする必要があります。このファイルはベースファイルと同じ名前で拡張子が ".serial" である必要があります。例として、ベースファイルが"20230412_k1_base_13.1.73.tgz" とあるとき、シリアルナンバーファイルの名前は "20230412_k1_base_13.1.73.tgz.serial" とする必要があります。
  • 「シリアルナンバーファイル」 を作成・保存する時には 拡張子タイプに 「テキスト文書(*.txt) 」ではなく「すべてのファイル(*.*)」を選択します。

• バックアップデータによる復元を行おうとするアプライアンスのVM上には3つのファイルがアップロードされている必要があります。

• 適切なシリアルナンバー情報とともに必要なファイルがアップロードされたらそれを選択して、バックアップから復元 ボタンを押すことで復元が開始されます。.
  • 同じネットワーク上に既存のSMAが動作している（同じIPアドレスが併存すべきではない）等何らかの理由で復元するマシンに異なるIPアドレスを与えて復元をさせたい場合には、復元オプションにて ネットワーク設定のオーバーライド  を使用することができます。

復元の適用中は管理者UIへのアクセスが数分から数時間失われることに注意してください。最終的には復元が完了した後でログインページに戻るはずです。
ご不明な点がございましたらテクニカルサポートまでお問い合わせください。

• FTPを使う方法の代わりにClientDrop共有に3ファイルを配置する方法でもアップロードできます。
• .serialが無い場合にはシリアルナンバーには復元先のシリアルナンバーが仮定されます。バックアップ取得と同じマシンへの復元においては.serialは不要です