| Oracle® Audit Vault and Database Firewall管理者ガイド リリース12.1.2 B71711-11 |
|
 前 |
 次 |
ここでのトピック
Database FirewallのペアまたはAudit Vault Serverのペア、あるいはその両方を構成して、高可用性システム・アーキテクチャを提供できます。これらは、回復可能なペアと呼ばれます。Database Firewallの場合、この章で説明する回復可能なペアの構成は、データベース・アクティビティ監視(DAM)モードにのみ適用されます。DAMモードとDPE (データベース・ポリシー強制)モードの詳細は、「Database Firewall」を参照してください。
Audit Vault Serverの回復可能なペアでは、プライマリAudit Vault Serverがすべてのサーバー機能を実行します。監査および構成データは、プライマリAudit Vault ServerからセカンダリAudit Vault Serverにコピーされます。セカンダリAudit Vault ServerではUIを使用できないため、セカンダリ・サーバーのUIにアクセスしようとすると、プライマリ・サーバーのUIにリダイレクトされます。
Database Firewallの回復可能なペアでは、プライマリとセカンダリの両方のDatabase Firewallが次の処理を実行します。
同じ期間のトラフィックの受信
同じ構成の設定(Audit Vault Serverにより同期)。これは、Database Firewallのシステム構成(Database Firewallコンソールのシステム・ページで設定され、同期されません)ではなく、セキュア・ターゲット、強制ポイント、ポリシーおよび他のモニタリング設定の構成です。
適用されたポリシーに基づいたログ・ファイルの作成
Audit Vault Serverへのアラートの送信。その後、Audit Vault ServerはプライマリDatabase Firewallからアラートのみを送信します。
Audit Vault Serverは、トラフィック・ログをプライマリDatabase Firewallから収集します。プライマリDatabase Firewallの再起動などによりプライマリDatabase Firewallからの監査データに空白の時間がある場合、Audit Vault Serverは、トラフィック・ログ・ファイルをセカンダリDatabase Firewallから収集します。その後、Audit Vault Serverは、両方のDatabase Firewallからすべてのトラフィック・ログ・ファイルを削除します。
Audit Vault Serverは、Database Firewallの回復可能なペアの状態を制御します。回復可能なペアのDatabase Firewall間では、通信は行われません。Audit Vault Serverが一定期間プライマリDatabase Firewallに接続できない場合、Audit Vault ServerはセカンダリDatabase Firewallからログ・ファイルを収集し、セカンダリDatabase Firewallをプライマリに格上げします(その結果、新しいプライマリ・ファイアウォールがリアルタイム・アラートの送信を開始します)。
図8-1に、1つのデータベースの保護に使用されているDatabase Firewallのペアを示します。
図8-1 1つのセキュア・ターゲットを保護するDatabase Firewallの高可用性ペア
図8-2に、高可用性モードのAudit Vault ServerのペアとDatabase Firewallのペアを示します。
図8-2 高可用性モードのAudit Vault ServerのペアとDatabase Firewallのペア
ここでのトピック
1つをプライマリ・サーバー、もう1つをセカンダリ・サーバーとして指定して2つのAudit Vault Serverでペアを作成すると、プライマリ・サーバーの(ネットワーク設定を除く)すべてのデータおよび構成が自動的にセカンダリ・サーバーにコピーされ、それ以降、セカンダリ・サーバーと継続的に同期されるようになります。
Audit Vault Serverの回復可能なペアを構成した後、プライマリ・サーバーに対してのみすべての構成タスクを実行します。これには、Audit Vault Agentのデプロイ、セキュア・ターゲットおよびホストの設定、Database Firewallおよび強制ポイントの追加などのタスクがあります。
Database Firewallをデプロイし、Audit Vault Serverの回復可能なペアを構成する場合、プライマリとセカンダリの両方のAudit Vault Serverのサーバー証明書およびIPアドレスを各Database Firewallに指定する必要があります。手順は、「Audit Vault Serverの証明書およびIPアドレスの指定」を参照してください。
Audit Vault Serverのペアを作成する前にAudit Vault Agentをデプロイした場合は、ペア作成後にそれらのエージェントを手動で更新する必要があります。「Audit Vault Serverのペア作成後におけるAudit Vault Agentの更新」を参照してください。
「Audit Vault Serverペアのフェイルオーバーの処理」も参照してください。
Audit Vault Serverのペアを構成するための前提条件は、次のとおりです。
プライマリとセカンダリ両方のAudit Vault Serverに同じ容量のディスク領域があることを確認します。
プライマリとセカンダリ両方のAudit Vault Serverに対して初期システム構成タスクを実行します。「初期システム設定およびオプションの指定(必須)」を参照してください。
この手順では、セカンダリ(スタンバイ)・サーバーをServer2、プライマリ・サーバーをServer1と呼びます。
Server2を構成するには、セカンダリ・サーバーで次のようにします。
Server1 (プライマリ)からサーバー証明書をコピーします。
Server1に管理者としてログインします。
Server1の「設定」タブで、「セキュリティ」メニューから、「証明書」をクリックします。
証明書をコピーします。
別のブラウザ・ウィンドウで、Server2にスーパー管理者としてログインします。
Server2のコンソールで、「設定」タブをクリックします。
「システム」メニューから、「高可用性」を選択します。
「ピア・システムIPアドレス」フィールドに、Server1のIPアドレスを入力します。
「ピア・システム証明書」フィールドに、Server1の証明書を貼り付けます。
「保存」をクリックします。
この手順では、プライマリ・サーバーをServer1、セカンダリ(スタンバイ)・サーバーをServer2と呼びます。
Server1を構成するには、プライマリ・サーバーで次のようにします。
Server2 (セカンダリ)からサーバー証明書をコピーします。
Server2に管理者としてログインします。
Server1の「設定」タブで、「セキュリティ」メニューから、「証明書」をクリックします。
証明書をコピーします。
別のブラウザ・ウィンドウで、Server1にスーパー管理者としてログインします。
Server1のコンソールで、「設定」タブをクリックします。
「システム」メニューから、「高可用性」を選択します。
「このシステムをプライマリ・サーバーとして構成」チェック・ボックスを選択します。
「ピア・システムIPアドレス」フィールドに、Server2のIPアドレスを入力します。
「ピア・システム証明書」フィールドに、Server2の証明書を貼り付けます。
「保存」をクリックします。
Server1とServer2のペアを起動する準備ができたら、「ステップ3: Audit Vault Serverの高可用性ペアの起動」に進みます。
プライマリ・サーバー(Server1)で高可用性ペアを起動します。これには数分かかりますが、完了すると、セカンダリ・サーバーではコンソールUIを使用できなくなります。
注意: この手順を完了した後、プライマリ・サーバーでのみすべての構成タスクを実行します。これには、Audit Vault Agentのデプロイ、セキュア・ターゲットおよびホストの設定、Database Firewallおよび強制ポイントの追加などのタスクがあります。Server2 (スタンバイ)のコンソールUIは使用できなくなるため、Server1にリダイレクトされます。
プライマリ・サーバー(Server1)で高可用性ペアを起動する手順は、次のとおりです。
Server1にスーパー管理者としてログインします。
Server1のコンソールで、「設定」タブをクリックします。
「システム」メニューから、「高可用性」をクリックします。
「このシステムをプライマリ・サーバーとして構成」チェック・ボックスが選択されていることを確認してください。
「保存」をクリックします。
「プライマリにする」をクリックします。
組み込まれたOracle Databaseが再起動され、コンソールUIは一時的に使用できなくなります。このプロセスが完了すると、このAudit Vault Serverはプライマリ・サーバーになります。
この手順を実行する前にAudit Vault Agentをデプロイした場合は、それらのエージェントを手動で更新します。「Audit Vault Serverのペア作成後におけるAudit Vault Agentの更新」を参照してください。
このステップは、フェイルオーバーの発生時にそれらのAudit Vault Agentを認識させるために必要です。
Audit Vault Serverの高可用性ペアでは、フェイルオーバーの発生時にセカンダリ・サーバーがプライマリになります。Audit Vault Serverの高可用性ペアを作成する前にAudit Vault Agentをデプロイした場合は、フェイルオーバーの発生後に、新しいプライマリ・サーバーのエージェント・ステータスがUNREACHABLEになります。このシナリオを回避するには、Audit Vault Serverのペアを作成した後に、以前にデプロイしたAudit Vault Agentを手動で更新します。
Audit Vault Serverのペア作成後にAudit Vault Agentを手動で更新する手順は、次のとおりです。
ホスト・マシンで、エージェント・プロセスを強制終了します。
kill -9 agent_process_id
ディレクトリAgent_Home/av/confのファイルagent.lckを削除します。
新しいagent.jarを新しいプライマリAudit Vault Serverからダウンロードして、ホスト・マシンのAgent_Homeディレクトリにコピーします。
Agent_Homeディレクトリで、次のコマンドを実行します。
java-jar agent.jar
監査証跡を再開します。
通常の操作中に、回復可能なペアのプライマリAudit Vault Serverの可用性が定期的にチェックされます。プライマリAudit Vault Serverが使用不可になると、10分遅延の後にセカンダリAudit Vault Serverに自動的にフェイルオーバーされます。遅延により、プライマリ・サーバーの再起動によるフェイルオーバーを防止します。
フェイルオーバー発生時には、セカンダリ・サーバーがスタンドアロンAudit Vault Serverになります。このスタンドアロン・サーバーを構成し、高可用性ペアを繰り返すには、次の手順を実行する必要があります。
スタンドアロン・サーバーで、ネットワーク設定およびサービス設定(DNS設定など)を構成します。「Audit Vault Serverのシステム設定の指定」を参照してください。
次のAVCLIコマンドを使用して、アーカイブ場所として定義されているリモート・ファイルシステム(NFS共有)をスタンドアロン・サーバーに手動でマウントします。
ALTER REMOTE FILESYSTEM filesystem_name MOUNT
詳細は「ALTER REMOTE FILESYSTEM」を参照してください。
障害が発生したサーバーの接続を解除してサーバーを置換します。これで、置換されたサーバーを新しいセカンダリ・サーバーとして構成できます。
2つのAudit Vault Serverをペアにするには、構成手順を再び実行します。「Audit Vault Serverの回復可能なペアの構成」を参照してください。
ここでのトピック
ここで説明する手順は、DAMモードのDatabase Firewallにのみ適用されます。
前提条件
2つのDatabase Firewallを回復可能なペアとして指定する前に、それぞれに対して初期構成タスクを実行します。「Database Firewallの構成」を参照してください。
ペアにするDatabase Firewallのいずれにも強制ポイントが構成されていないことを確認してください。回復可能なペアを作成する前に、両方のDatabase Firewallからすべての強制ポイントを削除してください。
Audit Vault Serverの回復可能なペアを構成する場合
Audit Vault Serverの回復可能なペアも構成した場合は、各Audit Vault ServerのIPアドレスおよび証明書をシステム内の各Database Firewallに指定する必要があります。「Audit Vault Serverの証明書およびIPアドレスの指定」を参照してください。
Database Firewallの回復可能なペアを構成する手順は、次のとおりです。
Audit Vault Serverコンソールに管理者としてログインします。
Audit Vault Serverの回復可能なペアを定義した場合は、プライマリ・サーバーのコンソールを使用します。
「ファイアウォール」タブを選択します。
「ファイアウォール」メニューで、「回復可能なペア」を選択します。
「プライマリ」フィールドと「セカンダリ」フィールドで、このペアで使用するプライマリ・ファイアウォールとセカンダリ・ファイアウォールを選択します。
Database Firewallの回復可能なペアでプライマリとセカンダリのロールを入れ替える必要がある場合は、この手順に従います。
Database Firewallの回復可能なペアのロールを入れ替える手順は、次のとおりです。
Audit Vault Serverコンソールに管理者としてログインします。
Audit Vault Serverの回復可能なペアを定義した場合は、プライマリ・サーバーのコンソールを使用します。
「ファイアウォール」タブを選択します。
「ファイアウォール」メニューで、「回復可能なペア」を選択します。
回復可能なペアを選択して、「スワップ」をクリックします。
Database Firewallの回復可能なペアを削除(ペア解除)する必要がある場合は、この手順を使用します。
Database Firewallの回復可能なペアを削除する手順は、次のとおりです。
Audit Vault Serverコンソールに管理者としてログインします。
Audit Vault Serverの回復可能なペアを定義した場合は、プライマリ・サーバーのコンソールを使用します。
「ファイアウォール」タブを選択します。
「ファイアウォール」メニューで、「回復可能なペア」を選択します。
回復可能なペアを選択して、「ブレーク」をクリックします。
