Group Managed Service Accounts(gMSA)と連携したユーザ/パスワード管理不要でセキュアなVeeamバックアップ運用

Veeamでは、VMware vSphere/Microsoft Hyper-V/Nutanix AHVといった仮想プラットフォーム上のVMをエージェントレスにバックアップする場合でも、VMゲストOS上にランタイムプロセスを配置しアプリケーションの静止を保った状態のスナップショットを作成、データ処理を実施できます。

この時、VMゲストOSに対してログイン操作を実施する都合上、バックアップジョブ内にゲストOSの認証情報を入力する必要があります。
ローカルユーザ、ドメインユーザどちらも指定は可能ですが、ユーザ名やパスワードが変更となった場合、Veeam側でも認証情報の更新を行わないとログイン操作が行えず、静止処理が失敗してしまう点には注意が必要であり、セキュリティポリシー上認証情報の更新が必須となるケースや登録されたジョブ数、認証情報数によっては大きな手間となり得るものとなります。

このようなニーズに対応するために、Veeamはバージョン12にてActive Directory提供機能の一つであるGroup Managed Service Accounts(以下gMSA)との連携を追加しました。

gMSAは、Active Directoryで生成された特殊なドメインアカウントであり、パスワード管理はActive Directory側で30日ごとに自動更新、暗号化された状態で保存されます。
パスワード管理の自動化による管理者負担の軽減や、強固な乱数と暗号化によるパスワード保管によって辞書攻撃等による漏洩リスクを減らすことができます。
※gMSAとVeeamの連携について、一部制限があるためご注意ください。

実装としては、ランタイムプロセスを配置する役割となるVeeamゲスト静止用プロキシをドメインに参加させ、Veeamゲスト静止用プロキシがActive DirectoryへgMSAアカウントを問い合わせし取得、gMSAアカウントを用いてバックアップ対象VMへログイン、ランタイムプロセスを配置する動きになります。

このため、必ずしもVeeam管理サーバ自身をドメインに参加させる必要はなく、Active Directoryが侵害されて芋づる式にVeeam管理サーバまで乗っ取られるリスクを回避できます。
※もちろん、Veeam管理サーバをドメイン参加させ、Veeamゲスト静止用プロキシと兼任させることも可能です。
※gMSA構成については、VeeamドキュメントおよびMicrosoftドキュメントをご確認ください。

Veeam側での操作は非常にシンプルであり、gMSAアカウントをManaged service accountから指定し、ジョブで指定するものとなります。
画像からもわかるとおり、gMSAアカウントのためパスワードは指定しません。