test

Sun Management Center 4.0 安裝與配置指南

第 3 章 配置注意事項

本章探討會對 Sun Management Center 的安裝或升級有不利影響的項目。本章涵蓋下列主題：

安全性建議

本節提供有關 Sun Management Center 存取、伺服器和代理程式元件以及安全性金鑰的安全性建議。

使用者、群組以及角色簡介

設定 Sun Management Center 使用者和使用者群組之前，應瞭解可能出現的管理作業類型，以便將這些管理作業指定給適當的使用者類別。仔細規劃使用者群組和角色有助於確保配置管理的正確性、資料的完整性以及管理資訊與系統資源的安全性。

未在主存取檔案 /var/opt/SUNWsymon/cfg/esusers 中明確識別使用者之前，任何使用者均無法存取 Sun Management Center。若要賦予 Sun Management Center 的存取權限，必須將使用者名稱加入 /var/opt/SUNWsymon/cfg/esusers。之後，使用者可以使用該使用者名稱和密碼登入 Sun Management Center。

當使用者登入時，Sun Management Center 會使用以 PAM 為基礎的認證來認證使用者。Sun Management Center 會根據以下功能角色來控制存取並定義使用者權限：

在大型的組織中，Sun Management Center 安全性角色可能直接對映到現有的系統管理與支援功能之上。對於其他組織而言，此程序可能有些複雜，因為社群功能與產品角色之間的對映關係可能不太清晰。在某些情形下，可以將所有的邏輯角色指定給單一使用者。

備註 –

權限的指定可靈活多樣，不必拘泥於四個 Sun Management Center 安全性角色。

Sun Management Center 權限可以明確地指定為網域、拓撲容器、代理程式和模組層級。依慣例會使用以上命名的這些群組，其實權限指定可以參考任何 UNIX 使用者或群組。Sun Management Center 權限群組允許在指定功能角色時使用現有的帳號配置。儘管不建議在指定權限時命名明確的使用者，但在已建立 UNIX 群組的環境中使用 UNIX 群組仍十分方便。

如需更多有關安全性角色、群組及使用者的資訊，請參閱設定使用者和「Sun Management Center 3.6.1 User’s Guide」中的第 18 章「Sun Management Center Security」。

Sun Management Center 內部安全性

本節說明在 Sun Management Center 元件之間使用的安全性程序。

伺服器至代理程式的安全性

Sun Management Center 伺服器與其管理的節點之間的通訊主要是透過業界標準簡單網路管理協定版本 2（使用了使用者安全性模組 SNMP v2usec）來執行的。SNMPv2 機制特別適用於將使用者認證從伺服器層對映到代理程式側的作業。SNMPv2 是用於確保存取控制策略不會被繞過的主要機制。

Sun Management Center 亦支援使用基於社群的安全性之 SNMP v1 與 v2。儘管就安全性而言不是很可靠，但是支援 SNMP v1 與 v2 對於整合其他裝置與其他管理平台來說十分重要。在不需要使用這些機制的環境中，存取控制指定機制可用於限制或禁止對使用 SNMP v1 與 v2 協定的程序之存取。Sun Management Center 代理程式也可以理解和回應來自協力廠商應用程式的 SNMPv3 查詢。

如果自訂作業需要資料流，則會同時使用探測機制。探測機制由 SNMP 作業啟動。啟動之後，探測作業使用串流 TCP 連接在管理節點上實作雙向的、可能是互動式的服務，例如記錄檔檢視。由於探測機制使用 SNMP 通訊，因此不對資料封包主體進行加密。

跨伺服器環境的安全性

當 Sun Management Center 與本機伺服器環境之外的管理節點進行通訊時，安全性模型可確保做為一般 public SNMPv2 usec 使用者來執行這些作業。使用 public 可極大地限制權限，並限制使用者對管理資料的檢視。

用戶端至伺服器的安全性

Sun Management Center 伺服器層與用戶端（如主控台與指令行介面）之間的通訊是透過結合使用 Java 技術遠端方法調用 (Remote Method Invocation, RMI) 與綜合的特定產品安全性模型來執行的。安全性模型允許用戶端在低、中或高安全性模式下作業，該模式會影響所執行的訊息認證之層級：

由於執行層級較高的安全性對效能有潛在的影響，因此請仔細考量您的訊息認證需求。

模組安全性

Sun Management Center 為 Service Management Facility (SMF)、Module Configuration Propagation (MCP) 及Solaris Container Manager 模組提供模組層級安全性。任何使用者可以將任何模組載入 Sun Management Center 代理程式。不過，對於在模組上設定/變更動作或值，使用者需要有優先權限。模組安全性以下列兩種方式提供：RBAC (Role Based Access Control, 以角色為基礎的存取控制) 和本機檔案存取。

RBAC 以設定檔為基礎。具有所需設定檔的使用者可以執行設定檔專用作業。RBAC 可以藉由執行 Solaris 系統管理指令實作。

本機檔案存取獨立於作業系統外。使用者必須將所需的權限加入本機存取檔案。本機檔案存取的安全性可以使用 es-config 指令實作。如需更多資訊，請參閱使用 es-config。

安全性金鑰與 SNMP 社群字串

當您在個別機器安裝並接著設定 Sun Management Center 代理程式時，系統會提示您提供用來為代理程式產生安全性金鑰的密碼。此密碼應與您在 Sun Management Center 伺服器設定期間指定的密碼相同。如果 Sun Management Center 伺服器與代理程式的安全性金鑰不同，伺服器與代理程式便無法相互通訊。如需有關如何重新產生安全性金鑰的資訊，請參閱重新產生安全性金鑰。

在設定過程中，系統還會提示您接受預設的 SNMP 社群字串 (public)，或指定私用社群字串。SNMP 社群字串是享有特權的內部帳號所必需的密碼。如果不進行變更，配合使用一般 SNMPv2 usec 工具時，此字串可以模擬伺服器層。因此，請勿使用預設的社群字串。請為每個伺服器環境指定一個不同的私用社群字串。

安全性密碼和 SNMP 社群字串與超級使用者密碼一樣重要。

管理策略

本節概括介紹 Sun Management Center 的管理方法。瞭解要管理的系統及其實施方式，有助於成功地部署和使用 Sun Management Center。

伺服器環境

管理資訊組織的最高層級為伺服器環境。每台 Sun Management Center 伺服器僅提供一個伺服器環境。每個伺服器環境可以含有一個或多個向其報告的管理系統。每個管理系統只能向一個伺服器環境報告。

一般而言，伺服器環境之間的通訊會受到限制，管理事件不會在伺服器之間轉寄。伺服器環境的架構應平行於使用 Sun Management Center 的組織內的群組結構。伺服器環境還應與這些群組的系統管理職責平行。擁有伺服器的管理群組同時擁有該伺服器內的管理資料。此群組可完全控制對 Sun Management Center 伺服器所管理之所有系統和網路資源的存取。

網域策略

網域是伺服器環境中最高層級的結構。網域提供個別環境，您可以在這些個別環境中建立自訂拓樸配置。網域非常普遍。您可以建立一個網域來代表特定使用者、環境或其他任何邏輯區域的資訊。管理系統可能會出現在多個網域中，因此可能存在多個重疊的網域。所以，您可以針對相同的管理資訊和系統資源構建數個不同的表示方法。

網域通常包含呈階層結構的 Sun Management Center 群組集合，您可以使用這些群組來匯集管理系統集、Sun Management Center 管理模組集或管理物件集。此階層結構定義了使用者介面中可見的資訊分類，亦定義了匯集管理狀況以及向高層級摘要提供此狀況的規則。此功能和靈活性使得網域及網域內的容器成為建構特定環境之邏輯管理模型的強大工具。

組織策略

Sun Management Center 包含功能強大的探索管理程式 ，該程式可以定期自動檢查本機環境以識別所有管理節點。探索管理程式有助於配置 Sun Management Center，它依基於網路的實體線路構造管理資訊。

依據您環境的特點，使用探索管理程式可能不是檢視管理資訊和匯集狀況資訊的最佳方法。然而，在組織 Sun Management Center 環境之前識別所有管理系統時，探索管理程式非常有用。如需更多有關探索管理程式的資訊，請參閱「Sun Management Center 3.6 使用者指南」中的「Sun Management Center 3.6.1 User’s Guide」中的第 4 章「Adding Objects to the Topology Database Using the Discovery Manager」。

組織 Sun Management Center 環境的其他方法包括：

在每個 Sun Management Center 環境中，均必須重視完全性。範圍廣度必須足夠才能非常有效或至少立即識別系統問題。如果不為 Sun Management Center 所監視但是又對環境至關重要的裝置、主機、服務或程序中發生故障，則可能會導致涵蓋範圍出現缺口而影響實施的整體有效性。為避免發生此問題，在建置 Sun Management Center 管理環境時，應考量自訂的模組、代理解決方案，甚至來自其他伺服器環境的資訊。

實體組織

管理系統的實體位置可能與系統駐留的網路位置不一致。在這種情況下，您可能想要建立一個新的網域，在這個網域中，Sun Management Center 群組依實體線路而構造。這樣，城市、場所、建築物、地面、伺服器位置甚至裝置機架均可輕鬆地表示出來。位於這些位置的系統可以在使用探索管理程式執行探索的網域中進行複製與貼上。

若要依實體線路配置 Sun Management Center 環境，您必須知道系統的實體位置。此組織可以成為非常有價值且存取方便的參照。實體組織還可定義狀況匯集路徑，因此可將問題在實體線路上隔離出來，並可協助識別一般模式的故障。例如，局部的供電中斷可能會影響常駐在數個網路中但實際在一個實體區域中的系統。

注意 – 注意 –

您必須自行更新資訊。執行探索時，此資訊不會自動更新。探索程序不會自動追蹤實體位置變更的裝置。

環境策略

您的組織可能具有數個邏輯環境，這些環境的位置與資源重疊，但是邏輯功能仍有區別。邏輯環境包括社群群組（如銷售部與工程部）、功能群組（如零售部與學會），甚至邏輯軟體環境（如使用者接受與生產）。

在所有這些情況下，可考量建立不同的 Sun Management Center 拓撲群組以隔離每個群組的元素。分開的拓撲群組可阻止一個群組中的問題在另一個群組中發出警報。在為包含多網域伺服器的系統配置 Sun Management Center 環境時，這種隔離尤其重要。不同網域所執行的功能可能針對完全不同的群組或環境。單一拓撲群組中包含不同的網域可能導致使人誤解的資訊和警報通知。

應用程式組織

應用程式是系統管理中的複雜實體。從管理角度決定應用程式的構成元素可能會十分困難，尤其是在應用程式為分散式應用程式且依靠許多外部服務以正確作業時。因此，應在安裝 Sun Management Center 之前先組織應用程式，而不應等到遇到問題的時候才開始考量因果關係。進行一些初始分析有助於提昇解決應用程式層級問題的效率。

在配置應用程式導向的 Sun Management Center 環境時，拓撲容器通常包含主機、模組以及特定物件的組合。一些主機可能完全用於執行該應用程式，而其他一些主機可能僅使用部分資源來支援應用程式正確作業。例如，在應用程式使用社群目錄服務的情況下，該目錄服務的運作情況對於應用程式作業十分重要，但該伺服器上其他服務的運作情況對應用程式並不重要，或是應用程式並不需要其他的服務。

服務職責

在某些情況下，一個群組或管理員可能負責特定服務，但不負責基本資源。例如，負責資料庫服務可用性和資料完整性的資料庫管理員可能並不負責硬體或作業系統管理。專為資料庫服務建立的 Sun Management Center 網域有助於資料庫管理員執行必要的作業。一般使用者角色權限協助管理員存取一般系統和網路狀況。

管理大型企業

Sun Management Center 中的一些工具可協助您簡化大型企業的管理。其中一個工具是「參考網域」，它可讓群組跨伺服器環境共用管理資訊。另一個功能是「群組作業」系統，它有助於執行高度分散的大型管理作業。

群組系統可讓您設定資料屬性值，修改資料屬性。您也可以載入、卸下、啟用和停用 Sun Management Center 伺服器環境中的模組。所有這些作業均可套用至管理系統和節點的大型群組。這些群組可以使用現有的拓樸結構或靈活的探索型過濾器來定義。可以儲存並多次執行群組作業。您可以使用排程程式來自動執行群組作業。群組作業亦包括模組配置傳送 (Module Configuration Propagation, MCP)，在此工具中，可將參考節點的全部配置上傳至伺服器，然後再將其下傳至所有相似的節點中，藉此複製參考節點的全部配置。

如需更多關於參照網域的資訊，請參閱「Sun Management Center 3.6.1 User’s Guide」中的「Monitoring Remote Administrative Domains」。如需更多關於群組作業的資訊，請參閱「Sun Management Center 3.6.1 User’s Guide」中的第 13 章「Managing Group-related Jobs」。