K ルールおよびフィンガープリント・ロギング

ロギングを有効化すると、問題のトラブルシューティングやルールのテストに役立ちます。この付録では、OAAMでルール・ロギングを構成する方法について説明します。

この項は、次の項目で構成されています。

K.1項「概要」
K.2項「ルール・ロギング」
K.3項「詳細ルール・ロギング」

K.1 概要

Oracle Adaptive Access Managerでは、ロギングを有効化すると問題のトラブルシューティングやルールのテストに役立ちます。ルール・ログ詳細は、各チェックポイント(認証前や認証後など)で様々なポリシーとルールの実行中に取得され、このログ情報を管理者は各セッションで表示できます。フィンガープリント処理ベースのルール・ロギングは、データベースにおけるロギングのオーバーヘッドが軽減されるため、パフォーマンス上の理由で詳細ロギングのかわりに使用できます。次の項で説明するように、各ロギング・メカニズムはプロパティで構成できます。

注意: 11gでは、ルール・ログ・フィンガープリントはデフォルトで有効化されています。

K.2 ルール・ロギング

この項の内容は次のとおりです。

ルール・ロギングの有効化
プロセス・フロー
プロパティ設定の組合せと結果

ルール・ロギングを構成するには、OAAM管理コンソールの「プロパティ」エディタ・オプションを使用して、次の各プロパティを設定します。

vcrypt.tracker.rules.trace.policySet=[true|false]
vcrypt.tracker.rules.trace.policySet.<checkpoint string value>=[true|false]

vcrypt.tracker.rules.trace.policySetのデフォルト値はtrueに設定されています。

K.2.1 ルール・ロギングの有効化

手順は次のとおりです。

OAAM管理コンソールにログインします。
ナビゲーション・ペインで、「環境」ノードの下の「プロパティ」をダブルクリックします。プロパティ検索ページが表示されます。
「名前」フィールドに「vcrypt.tracker.rules.trace.policySet」と入力し、「検索」をクリックします。

「検索結果」セクションに、このプロパティが表示されます。
「検索結果」セクションで、このプロパティをクリックして選択します。
vcrypt.tracker.rules.trace.policySetの詳細セクションで、「値」フィールドにtrueと入力します。
「保存」をクリックします。

確認ダイアログが表示されます。
「OK」をクリックしてダイアログ・ボックスを閉じます。
プロパティが存在しない場合は、プロパティ検索ページで「新規プロパティ」ボタンまたは「新規プロパティの作成」アイコンをクリックします。

「新規プロパティ」ダイアログが表示されます。
「新規プロパティ」ダイアログで、プロパティの名前および値を入力します。
「作成」をクリックします。

K.2.2 ルールをロギングするタイミングの指定

ルールをロギングするチェックポイントを指定するには、次の手順を実行します。

OAAM管理コンソールにログインします。
ナビゲーション・ペインで、「環境」ノードの下の「プロパティ」をダブルクリックします。プロパティ検索ページが表示されます。
プロパティ検索ページで、「新規プロパティ」ボタンまたは「新規プロパティの作成」アイコンをクリックします。

「新規プロパティ」ダイアログが表示されます。
「新規プロパティ」ダイアログで、「名前」フィールドにvcrypt.tracker.rules.trace.policySet.checkpoint_string_valueと入力します。
「値」フィールドに「true」と入力し、「作成」をクリックします。

K.2.3 プロセス・フロー

profile.type.enum.postauth.name=「認証後」の場合、ランタイム文字列値は「postauth」です。

次の各項では、「認証後」チェックポイントを使用してルール・ロギングを例示します。

フローは次のとおりです。

ルール・エンジンにより、vcrypt.tracker.rules.trace.policySet.postauthの構成がチェックされます。
vcrypt.tracker.rules.trace.policySet.postauthの構成が存在しない場合は、vcrypt.tracker.rules.trace.policySetの構成値がチェックされます。

特定のチェックポイントでロギング構成が明示的に設定されている場合、ルール・エンジンではその値が使用されます。それ以外の場合は、vcrypt.tracker.rules.trace.policySetの値が使用されます。

K.2.4 プロパティ設定の組合せと結果

次の表に、特定のチェックポイントで値の組合せによってロギングを制御する方法を例示します。

この例では、「認証後」チェックポイントを使用しています。

vcrypt.tracker.rules.trace.policySet.postauthの値	vcrypt.tracker.rules.trace.policySetの値	ルール・ロギングはpostauthチェックポイントに対して有効化されるか
true	false	はい
true	true	はい
true	未設定	はい
false	false	いいえ
false	true	いいえ
false	未設定	いいえ
未設定	false	いいえ
未設定	true	はい
未設定	未設定	はい

K.2.5 ロギングするルールの構成

ロギングするルールを構成するには、OAAM管理コンソールの「プロパティ」エディタ・オプションを使用して、次の各プロパティを設定します。

vcrypt.tracker.rules.trace.notTriggered=[true|false]
vcrypt.tracker.rules.trace.notTriggered.logMillis=[millis]

K.2.5.1 仕組み

vcrypt.tracker.rules.trace.notTriggeredの値を通じて、ログにルールを追加できます。「true」に設定すると、トリガーされないルールも、トリガーされるルールと一緒にロギングされます。

vcrypt.tracker.rules.trace.notTriggered.logMillisの値を通じて、ロギング対象とするルールを絞り込むことができます。

トリガーされないルールがルール・エンジンによってロギングされるのは、トリガーされないルールの実行がvcrypt.tracker.rules.trace.notTriggered.logMillisの値を上回った場合のみです。

K.2.5.2 例

次の表に、ロギング対象とするルールを制御するプロパティ値を示します。

vcrypt.tracker.rules.trace.notTriggered	vcrypt.tracker.rules.trace.notTriggered.logMillis	結果
true	n	トリガーされないルールは、nを上回った場合にロギングされます。nを負の値に設定すると、すべてのルールがロギングされます。
false	n	トリガーされないルールはロギングされません。

K.3 詳細ルール・ロギング

詳細ルール・ロギングでは、各ルール・レベルで要する時間が記録されます。詳細ルール・ログは、実行時間がしきい値を超えた場合にのみ作成されます。実行時間の長いルール(ランタイム)に関する詳細がロギングされるため、詳細ロギングのオーバーヘッドはかなり大きくなります。

所要時間の値は、パフォーマンス統計およびルールやポリシーの実行に要した時間の長さを表します。

注意:

本番マシンでは、ロギングの容量が増えるとパフォーマンスに悪い影響を与えるため、ロギングの有効時間を管理する必要があります。

「セッション詳細」ページに表示される情報は、ルールの実行時に書き込まれるルール・ログに基づきます。

詳細ルール・ログは、次の2つのプロパティによって制御します。

#Int property determining minimum time required for detailed logging 
vcrypt.tracker.rulelog.detailed.minMillis=2000 
#Boolean property which enables the fingerprint logging. Defaults to true 
vcrypt.tracker.rulelog.fingerprint.enabled=true

常にすべてのセッションの詳細ログが必要な場合は、前述の時間プロパティとその機能を調整します。

K.3.1 詳細ロギングの時間しきい値の構成

詳細ルール・ロギングを使用する場合は、時間しきい値xを構成して、ルールの所要時間がしきい値を上回った場合にのみロギングが実行されるようにできます。

ルール・ロギングを開始するまでの猶予となる時間しきい値を変更するには、次の手順を実行します。

ナビゲーション・ツリーで、「環境」の下にある「プロパティ」をダブルクリックします。
「名前」フィールドに「vcrypt.tracker.rulelog.detailed.minMillis」と入力し、「検索」をクリックします。
「結果」表で、「vcrypt.tracker.rulelog.detailed.minMillis」を選択します。
「詳細vcrypt.tracker.rulelog.detailed.minMillis」セクションで、「値」フィールドの値を編集します。
「保存」をクリックします。

確認ダイアログが表示されます。
「OK」をクリックしてダイアログ・ボックスを閉じます。

ポリシーの所要時間が指定の時間x (ミリ秒)を上回ると、Oracle Adaptive Access Managerにより詳細ルール・ロギングが開始されます。

K.3.2 フィンガープリント・ルール・ロギングの有効化

フィンガープリント・ルール・ロギングでの記録は、ポリシー・レベルで要する時間中にのみ行われます。フィンガープリント・ベースのログは、ルール・ログを短くしたものです。アラート・ソースやルールごとの時間などは含まれません。フィンガープリント・ベースのロギングは、データの増大を極力避け、ロギング・オーバーヘッドも最小限に抑える目的で行います。

フィンガープリント・ルール・ロギングを有効化または無効化するには、次のプロパティを変更します。

vcrypt.tracker.rulelog.fingerprint.enabled=true

K.3.3 フィンガープリント・ロギングと詳細ロギングの両方を実行するためのプロパティの指定

次のプロパティを設定できます。

フィンガープリント・ロギングまたは詳細ロギングの一方の実行
フィンガープリント・ロギングおよび詳細ロギングの両方の実行
フィンガープリント・ロギングのしきい値

フィンガープリント・ロギングと詳細ロギングのどちらを実行するかを指定する

フィンガープリント・ロギングと詳細ロギングのどちらを実行するかを決定するには、次のプロパティを設定します。

vcrypt.tracker.rulelog.exectime.maxlimit

この値を超えた場合、詳細ロギングが実行されます。

その他の制限を考慮するように指定する

両方の使用を決定するにあたり、指定したすべてのプロパティを考慮するには、次のように設定します。

vcrypt.tracker.rulelog.exectime.maxlimit=-1

両方を使用しないように指定する

両方のロギング・メカニズム(詳細およびフィンガープリント)を使用してロギングを実行するように指定するには、次のプロパティを使用します。

vcrypt.tracker.rulelog.logBoth

これをtrueに設定します。この値は、vcrypt.tracker.rulelog.exectime.maxlimitをオーバーライドします。

フィンガープリント・ロギングの時間しきい値を構成する

フィンガープリント・ルール・ロギングを開始するまでの猶予となる時間しきい値を変更するには、次のプロパティをミリ秒単位で設定します。

vcrypt.tracker.rulelog.exectime.maxlimit=