Oracle VMは、仮想化テクノロジの最新の利点をすべて持つ環境を完備したプラットフォームです。Oracle VMを使用すると、サポートされている仮想化環境内にオペレーティング・システムとアプリケーション・ソフトウェアをデプロイできます。
図1.1「Oracle VMのアーキテクチャ」に、Oracle VMのコンポーネントを示します。
ご使用のOracle VM環境(物理環境と仮想環境の両方)の構成全体が、Oracle VM Managerデータベースで管理されます。Oracle VMリリース3.2の時点でのデモ環境とテスト環境の基盤データベースはMySQLデータベースですが、以前のリリースでは、Oracle XEデータベースを使用します。『Oracle VMセキュリティ・ガイド』では、両方の構成を扱います。
Oracle VM Manager: コマンドライン・インタフェース(CLI)、シェルおよびグラフィカル・ユーザー・インタフェース(GUI)を提供します。Oracle VM CLIでは、SSH接続のUIとほぼ同じ管理操作を実行できます。GUIは、Oracle VM Server、仮想マシンおよびリソースを管理するためのApplication Development Framework(ADF) Webアプリケーションで、ブラウザから簡単に使用できます。Oracle VM Managerを使用して、次の操作を実行します。
Oracle VM Serverの構成および管理
ネットワークの構成および管理
記憶域の構成および管理
リソース(仮想マシン・イメージ、仮想マシン・テンプレート、アセンブリおよびインストール・メディア)の構成および管理
インストール・メディア、仮想マシン・テンプレート、アセンブリまたは仮想マシン・イメージからの仮想マシンの作成
電源のオン/オフ、削除、ライブ・マイグレーションなどの仮想マシンの管理
Oracle VMまたは別のサーバー仮想化ソリューションで作成された仮想マシンのインポート
Oracle VM ManagerのGUIは、Oracle Linuxで動作するOracle WebLogic Serverアプリケーションです。これはスタンドアロン・コンピュータの場合も、Oracle VM Serverのインスタンスで動作する仮想マシンの一部である場合もあります。ただし、Oracle VM Managerは、スタンドアロン・コンピュータで実行することをお薦めします。これによってOracle VM Managerでリソースを占有し、本当のゲスト仮想マシン・ネットワークによるネットワーク・トラフィックを分離し、暗号化されていないコンテンツやサービス拒否のスヌーピングを防止するという柔軟性が得られます。
Oracle VM Server: 仮想マシンを実行するための軽量でセキュアなサーバー・プラットフォームを提供する、管理された仮想化環境です。少なくとも1つのOracle VM Serverが必要ですが、クラスタリングを利用する場合は複数必要です。Oracle VM Serverは、基盤となるXenハイパーバイザ・テクノロジの更新版に基づいており、これにはOracle VM Agentが含まれます。また、様々なデバイス、ファイル・システムおよびソフトウェアRAIDボリューム管理をサポートするLinuxカーネルも含まれています。Linuxカーネルはdom0として動作して、1つ以上のdomU仮想マシンを管理します(各仮想マシンは、Linux、Oracle SolarisまたはMicrosoft Windowsです)。
外部記憶装置: Oracle Storage Connectプラグインは、記憶域へのアクセスを提供します。このプラグインは、RPMパッケージとして配布され、Oracle VM Serverにデプロイされます。これらは、ブロックベースの任意の記憶域に対するストレージ・アレイ・プラグインと、ファイル・システムベースの任意の記憶域に対するファイル・システム・プラグインの2つの主なカテゴリに分類されます。どちらのカテゴリにも汎用プラグインが含まれます。提供される標準機能は、NFS記憶域、iSCSIまたはファイバ・チャネルSANおよびローカル記憶域の検出、登録および使用です。LUNの作成と変更、アクセス・グループの構成などの記憶域ハードウェア上の対話型管理操作は、ベンダー固有のプラグインによってのみ提供されます。
Oracleの仮想化テクノロジ、アーキテクチャ、概念およびOracle VMのデプロイメントに関する前提情報の詳細は、『Oracle VMユーザーズ・ガイド』を参照してください。
Oracle VMのセキュリティ・アーキテクチャは、多くのセキュリティ脅威を排除するように設計されています。Oracle VMを使用する仮想化ソリューションをセキュアにデプロイメントするためのガイドラインは、主にネットワーク・セキュリティに関係します。これらのガイドラインは、一般的には妥当ですが、Oracle VMがデプロイされる、広範な環境の各実装、セキュリティ要件およびポリシーのコンテキストにおいて、これらの妥当性を常に検証する必要があります。
Oracle VMセキュリティ・アーキテクチャの主要な側面は、次のとおりです。
Oracle VM ServerとOracle VM Managerの両方で、Oracle Linux環境が提供され、これにはデフォルトのルールセットとポリシーを持つiptablesファイアウォールが含まれます。
Oracle VM Serverは、Oracle Linuxから派生した必要最小限のOS実装であり、Unbreakable Enterprise Kernel (UEK)リリース2を使用して、パフォーマンスとスケールを強化します。設計上、可動部分をほとんど持たず、ネットワーク公開されるサービスを最小限にして、管理作業、オーバーヘッドおよび攻撃面を減らしています。
Oracle VM ManagerのXEデータベースまたはMySQLデータベースは、ローカルホスト接続に制限され、ポート1521経由のリモート・アクセスはできません。XEデータベースまたはMySQLデータベースは、テスト環境または開発環境向けです。Oracle VMの本番環境では、Oracle DatabaseのStandard Edition (SE)またはEnterprise Edition (EE)を使用する必要があります。
Oracle VM ServerまたはOracle VM Managerのデフォルト・インストールでは、物理的なセキュリティは提供されません。物理コンソールにアクセスできるユーザーであれば、(ランレベル1またはレスキューcdを使用して)起動し、構成することができます。このような露出を防ぐため、適切な物理的セキュリティを施す必要があります。
VM移行のネットワーク・コンポーネントには、SSLが使用されます。
Oracle VM ServerからOracle VM Managerへの管理接続には、Oracle VM バージョン3.1.1のエラッタ1の時点では、デフォルトでHTTPSが使用されます。
公開鍵と秘密鍵の認証を使用したOpensshは、Oracle VM Serverで完全にサポートされます。
VMとdom0のネットワーク・トラフィックを分離するために、802.1q VLANが完全にサポートされています。
Oracle VMインストールのすべてのコンポーネントは、セキュアな方法で相互に通信します。次の表に、それぞれの通信がどのように安全に設定されるかについて詳細に示します。
通信 | 説明 |
|---|---|
ブラウザからOracle VM Manager GUI | Oracle VM Managerにログオンするときは、HTTPSを使用し、TCPポート7002に接続してください。バージョン3.1.1では、SSLで暗号化された通信が使用可能であり、TCPポート7001での通常のHTTPは、デフォルトで無効化されています。ただし、これはOracle WebLogic Serverからテストおよびデモの目的で有効化される場合があります。
デフォルトでは、組込みの |
Oracle VM Manager GUIからOracle VMコア | ローカル通信(同じサーバーで実行しているOracle VM Manager GUIとOracle VMコア間の通信)のみがTCP/54321上でSSL暗号化を使用しないことが許可されます。それ以外のすべての状況では、SSL暗号化が有効化され、ポート54322 (TCPS)が使用されます。 |
WebサービスからOracle VMコア | Oracle VMバージョン3.2.1では、SOAPおよびRESTに公開されるWebサービスAPI (WSAPI)を提供します。Oracle VMコアとのローカル通信は、TCP/54321を介して行われます。ローカル通信以外のすべての通信は、SSLで暗号化され、TCPS/54322を使用する必要があります。 |
クライアントからCLI | Oracle VMコマンドライン・インタフェース(CLI)は、バージョン3.2.1で公式にサポートされます。クライアントは、ポートTCP/10000上のSSHを使用して、(Oracle VM Managerホストで実行している)CLIに接続します。公開鍵をSSHサーバーに設定して、CLIユーザーが毎回資格証明を入力しなくても自動的にログオンできるようにすることができます。 |
CLIからOracle VMコア | Oracle VMコマンドライン・インタフェース(CLI)を同じホストで実行すると、TCP/54321経由でローカルにOracle VMコアと通信し、ローカル以外のすべての通信は、SSLで暗号化されて、TCPS/54322が使用されます。 CLIとOracle VMコアの間の直接接続は、製品から段階的になくなることに注意してください。その際、CLIはOracle VM WebサービスAPIに次のように接続します。 |
CLIからWebサービス | CLIとOracle VMコア間の直接接続は、段階的に製品からなくなります。その時点で、CLIはOracle VM WebサービスAPIに接続するようになります。そのような通信では、HTTPSをTCP/7002で使用するようにお薦めします。通常のHTTPは、TCP/7001から可能ですが、デモとテストの目的以外では使用しないようにしてください。 |
Oracle VM AgentからOracle VMコア | Oracle VM Serverで実行しているOracle VM Agentは、SSL暗号化を使用します。TCP/7002 (HTTPS)経由でOracle VMコアと通信します。 |
Oracle VMコアからOracle VM Agent | 次にOracle VMコアは、TCP/8899を使用して、その環境内のOracle VM Agentと通信します。プロトコルは、HTTPSです。 |
Oracle VM AgentからOracle VM Agent | Oracle VM Agent間の通信は、SSLで暗号化され(HTTPS) TCP/8899を使用します。 |
VNCプロキシ | 仮想マシン・コンソールへの接続に使用されるOracle VM ManagerホストのVNCプロキシは、TCP/15901でリスニングします。トラフィックはSSLで暗号化されます(TCPS)。 |
VNCサーバー | VNCサーバーは、Oracle VM Server上の各リモート仮想マシン接続に対して、1つのチャネルを開きます。SSLで暗号化された接続の場合、TCPポート6900以上(TCPS)が使用されます。TCPポート5900以上は、暗号化されていないローカル接続に使用できます。 |
ライブ・マイグレーション | 仮想マシンのライブ・マイグレーションに関連するトラフィックは、別々のポート(暗号化されていない場合はTCP/8002、SSL暗号化(TCP)ライブ・マイグレーションの場合はTCP/8003)を使用します。セキュアなライブ・マイグレーションは、ユーザーが必要に応じてサーバー・プール・プロパティで切り替える必要がある設定です。この設定に基づいて、Oracle VM Managerは実行中の仮想マシンのSSLまたは非SSLの移行を開始します。セキュリティとパフォーマンスを最適化するには、ライブ・マイグレーション用に別々のネットワークを作成することによって、ネットワークを切り分けることを検討します。 |
Oracle VM Agent証明書 | インストールで、Oracle VM AgentはSSLキーに一致する証明書を生成します。プロパティは次のとおりです。
デフォルトでは、VNCトラフィック、仮想マシン移行トラフィックおよびOracle VM Agent通信のすべてが同じSSLキーと証明書を使用して保護されます。管理者は、Oracle VM Serverのコマンドラインから |
その他のトラフィック | Oracle VM環境で、時刻同期のためにOracle VM Managerホストが参照されます。したがって、UDPポート123は、NTPトラフィックに使用されます。
クラスタ化されたサーバー・プールのOracle VM Serverは、OCFS2プールのファイル・システムを使用し、ハートビート・ネットワーク機能に、各クラスタ・メンバーのステータス確認を要求します。この特定のタイプのトラフィックに使用されるポートは、TCP/7777です。 |
