Oracle® Enterprise Manager

Cloud Controlセキュリティ・ガイド

13c リリース1

E70372-01(原本部品番号:E64825-01)

2016年1月

Oracle Enterprise Manager Cloud Controlセキュリティ・ガイド、13cリリース1

E70372-01

Copyright © 2011, 2016 Oracle and/or its affiliates All rights reserved.

このソフトウェアおよび関連ドキュメントの使用と開示は、ライセンス契約の制約条件に従うものとし、知的財産に関する法律により保護されています。ライセンス契約で明示的に許諾されている場合もしくは法律によって認められている場合を除き、形式、手段に関係なく、いかなる部分も使用、複写、複製、翻訳、放送、修正、ライセンス供与、送信、配布、発表、実行、公開または表示することはできません。このソフトウェアのリバース・エンジニアリング、逆アセンブル、逆コンパイルは互換性のために法律によって規定されている場合を除き、禁止されています。

ここに記載された情報は予告なしに変更される場合があります。また、誤りが無いことの保証はいたしかねます。誤りを見つけた場合は、オラクル社までご連絡ください。

このソフトウェアまたは関連ドキュメントを、米国政府機関もしくは米国政府機関に代わってこのソフトウェアまたは関連ドキュメントをライセンスされた者に提供する場合は、次の通知が適用されます。

U.S. GOVERNMENT END USERS: Oracle programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, delivered to U.S. Government end users are "commercial computer software" pursuant to the applicable Federal Acquisition Regulation and agency-specific supplemental regulations.As such, use, duplication, disclosure, modification, and adaptation of the programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, shall be subject to license terms and license restrictions applicable to the programs.No other rights are granted to the U.S. Government.

このソフトウェアもしくはハードウェアは様々な情報管理アプリケーションでの一般的な使用のために開発されたものです。このソフトウェアもしくはハードウェアは、危険が伴うアプリケーション(人的傷害を発生させる可能性があるアプリケーションを含む)への用途を目的として開発されていません。このソフトウェアもしくはハードウェアを危険が伴うアプリケーションで使用する際、安全に使用するために、適切な安全装置、バックアップ、冗長性(redundancy)、その他の対策を講じることは使用者の責任となります。このソフトウェアもしくはハードウェアを危険が伴うアプリケーションで使用したことに起因して損害が発生しても、オラクル社およびその関連会社は一切の責任を負いかねます。

OracleおよびJavaはOracle Corporationおよびその関連企業の登録商標です。その他の名称は、それぞれの所有者の商標または登録商標です。

Intel、Intel Xeonは、Intel Corporationの商標または登録商標です。すべてのSPARCの商標はライセンスをもとに使用し、SPARC International, Inc.の商標または登録商標です。AMD、Opteron、AMDロゴ、AMD Opteronロゴは、Advanced Micro Devices, Inc.の商標または登録商標です。UNIXは、The Open Groupの登録商標です。

このソフトウェアまたはハードウェア、そしてドキュメントは、第三者のコンテンツ、製品、サービスへのアクセス、あるいはそれらに関する情報を提供することがあります。適用されるお客様とOracle Corporationとの間の契約に別段の定めがある場合を除いて、Oracle Corporationおよびその関連会社は、第三者のコンテンツ、製品、サービスに関して一切の責任を負わず、いかなる保証もいたしません。適用されるお客様とOracle Corporationとの間の契約に定めがある場合を除いて、Oracle Corporationおよびその関連会社は、第三者のコンテンツ、製品、サービスへのアクセスまたは使用によって損失、費用、あるいは損害が発生しても一切の責任を負いかねます。

目次

タイトルおよび著作権情報

はじめに

- 対象読者

- ドキュメントのアクセシビリティについて

- 関連ドキュメント

- 表記規則

1 セキュリティの概要

- 1.1 セキュリティの脅威

- 1.2 セキュリティの原則

- 1.2.1 職務の分離と最低限の権限の原則

- 1.2.2 暗号化

- 1.2.3 疑わしいアクティビティの監視(監査)

- 1.2.4 非拒否

2 セキュリティ機能

- 2.1 認証の構成

- 2.1.1 サポートされている認証スキーム

- 2.1.2 新規管理者の作成

- 2.1.2.1 リポジトリ・ベースの認証

- 2.1.2.2 デフォルトの認証方法への復元

- 2.1.3 管理者の削除

- 2.1.4 エンタープライズ・ユーザー・セキュリティベースの認証

- 2.1.4.1 エンタープライズ・ユーザー(EUSユーザー)のEnterprise Managerユーザーとしての登録

- 2.1.5 Oracle Internet Directory(OID)

- 2.1.5.1 前提条件

- 2.1.5.2 OID構成のテスト

- 2.1.6 Microsoft Active Directoryベースの認証

- 2.1.6.1 Microsoft Active Directoryの構成テスト

- 2.1.7 外部ロールを使用した外部認可

- 2.1.7.1 自動プロビジョニング

- 2.1.7.2 外部ユーザー表示名に別の名前を使用

- 2.1.8 LDAPユーザー属性のEnterprise Managerユーザー属性へのマッピング

- 2.1.9 Enterprise Managerでのユーザー表示名の変更

- 2.1.10 他のLDAP/SSOプロバイダの構成

- 2.1.10.1 シングル・サインオン・ベースの認証の構成

- 2.1.11 エンタープライズ・ユーザー・セキュリティベースの認証の構成

- 2.1.12 デフォルトの認証方法への復元

- 2.1.12.1 シングル・サインオン・ログオン・ページの省略

- 2.1.12.2 デフォルトの認証方法の復元

- 2.2 権限とロール認可の構成

- 2.2.1 ユーザー、権限、ロールについて

- 2.2.1.1 ユーザーのクラス

- 2.2.1.2 オブジェクトの再割当て

- 2.2.1.3 集計ターゲット権限

- 2.2.2 権限とロール

- 2.2.2.1 管理者権限およびデータベース権限

- 2.2.2.2 権限の付与

- 2.2.2.3 ファイングレイン・アクセス制御

- 2.2.2.4 ロールの作成

- 2.2.2.5 プライベート・ロール

- 2.2.2.6 ロールを使用した権限の管理

- 2.2.3 権限伝播グループを使用した権限の管理

- 2.2.3.1 例1: 様々なチームにターゲット・グループへの異なるレベルのアクセス権を付与

- 2.2.3.2 例2: 開発者へのターゲット・データベース・インスタンスに対する表示アクセスの付与

- 2.2.3.3 権限のサマリー

- 2.3 セキュアな通信の構成

- 2.3.1 セキュアな通信

- 2.3.2 Oracle Management Serviceのセキュリティの有効化

- 2.3.2.1 サーバー・ロード・バランサを使用するOMSの構成

- 2.3.2.2 新しい認証局の作成

- 2.3.2.3 セキュリティ・ステータスとOMSポート情報の表示

- 2.3.2.4 Transport Layer Securityの構成

- 2.3.3 Oracle Management Agentの保護

- 2.3.4 エージェント登録パスワードの管理

- 2.3.4.1 Cloud Controlコンソールを使用したエージェント登録パスワードの管理

- 2.3.4.2 emctlを使用した新しいエージェント登録パスワードの追加

- 2.3.5 管理サービスへのHTTPアクセスの制限

- 2.3.6 管理リポジトリ・データベースのセキュリティの有効化

- 2.3.6.1 Oracle Advanced Securityとsqlnet.ora構成ファイルについて

- 2.3.6.2 セキュアな管理リポジトリ・データベースへ接続するための管理サービスの構成

- 2.3.6.3 管理リポジトリに対するOracle Advanced Securityの有効化

- 2.3.6.4 セキュアな管理リポジトリまたはデータベースを監視している管理エージェントのセキュリティの有効化

- 2.3.7 カスタム構成

- 2.3.7.1 WebLogic Server用のカスタム証明書の構成

- 2.3.7.2 OMSコンソール・アクセス用のカスタム証明書の構成

- 2.3.7.3 OMSアップロード・アクセス用のカスタム証明書の構成

- 2.3.8 セキュアな通信設定ツール

- 2.3.8.1 emctl secure oms

- 2.3.8.2 emctl secure agent

- 2.3.8.3 emctl secure wls

- 2.3.8.4 emctl status oms -details

- 2.3.9 サード・パーティの証明書の構成

- 2.3.9.1 HTTPSコンソール・ユーザー用のサード・パーティの証明書の構成

- 2.3.9.2 HTTPSアップロード仮想ホスト用のサード・パーティの証明書の構成

- 2.4 ターゲット資格証明の構成と使用

- 2.4.1 資格証明サブシステム

- 2.4.1.1 名前付き資格証明

- 2.4.1.2 特権資格証明

- 2.4.1.3 監視資格証明

- 2.4.1.4 優先資格証明

- 2.4.1.5 ホストおよびOracleホーム用の優先資格証明の保存

- 2.4.1.6 My Oracle Supportへのアクセス用の優先資格証明の保存

- 2.4.1.7 EM CLIを使用した資格証明の管理

- 2.4.1.8 ホスト認証機能

- 2.5 暗号化鍵の構成と使用

- 2.5.1 emkeyの構成

- 2.5.2 emctlコマンド

- 2.5.2.1 emctl status emkey

- 2.5.2.2 emctl config emkey -copy_to_credstore

- 2.5.2.3 emctl config emkey -copy_to_file_from_credstore

- 2.5.2.4 emctl config emkey -copy_to_file_from_repos

- 2.5.2.5 emctl config emkey -copy_to_credstore_from_file

- 2.5.2.6 emctl config emkey -copy_to_repos_from_file

- 2.5.2.7 emctl config emkey -remove_from_repos

- 2.5.3 シナリオのインストールおよびアップグレード

- 2.5.3.1 管理リポジトリのインストール

- 2.5.3.2 最初のOracle Management Serviceのインストール

- 2.5.3.3 10.2または11.1から12.1へのアップグレード

- 2.5.3.4 管理リポジトリの再作成

- 2.6 監査の構成と管理

- 2.6.1 資格証明の監査

- 2.6.2 デフォルト監査アクション

- 2.6.3 Enterprise Manager監査システムの構成

- 2.6.4 監査データ・エクスポート・サービスの構成

- 2.6.5 監査設定のアップグレード

- 2.6.6 監査データの検索

- 2.6.7 監査対象操作のリスト

- 2.6.8 インフラストラクチャの監査

- 2.6.8.1 WebLogic Serverの監査可能イベント

- 2.7 セキュリティのその他の考慮事項

- 2.7.1 SYSMANパスワードおよびMGMT_VIEWパスワードの変更

- 2.7.1.1 SYSMANユーザー・パスワードの変更

- 2.7.1.2 MGMT_VIEWユーザー・パスワードの変更

- 2.7.2 ブラウザ固有のセキュリティ証明書アラートへの対応

- 2.7.2.1 サード・パーティの証明書のワークフロー

- 2.7.2.2 Internet Explorerのセキュリティ・アラート・ダイアログ・ボックスへの対応

- 2.7.2.3 Mozilla Firefoxの新しいサイトの証明書ダイアログ・ボックスへの対応

- 2.7.2.4 Google Chromeのセキュリティ・アラート・ダイアログ・ボックスへの対応

- 2.7.2.5 Safariのセキュリティ・ダイアログ・ボックスへの対応

3 Enterprise Managerの保護

- 3.1 セキュアなインフラストラクチャおよびインストールのガイドライン

- 3.1.1 インフラストラクチャおよびオペレーティング・システムの保護

- 3.1.1.1 インフラストラクチャおよびオペレーティング・システムを保護するためのベスト・プラクティス

- 3.1.2 Oracle Management Repositoryの保護

- 3.1.2.1 高度なセキュリティ・オプションの有効化

- 3.1.3 Oracle Management Agentの保護

- 3.1.3.1 Oracle Management Agentを保護するためのベスト・プラクティス

- 3.1.4 セキュアな通信

- 3.1.4.1 ICMPの有効化

- 3.1.4.2 Oracle Management Agentのファイアウォール用の構成

- 3.1.4.3 Oracle Management Serviceのファイアウォール用の構成

- 3.1.5 セキュリティ・コンソール

- 3.1.5.1 概要

- 3.1.5.2 プラガブル認証

- 3.1.5.3 ファイングレイン・アクセス・コントロール

- 3.1.5.4 セキュアな通信

- 3.1.5.5 資格証明管理

- 3.1.5.6 包括的な監査

- 3.1.5.7 アクティブ・ユーザー・セッション数

- 3.1.5.8 ベスト・プラクティス分析

- 3.2 SSL通信のガイドライン

- 3.2.1 TLSv1プロトコルの構成

- 3.2.2 通信のセキュアロック・モード

- 3.2.2.1 OMSとエージェントの保護およびロック

- 3.2.3 脆弱な暗号の無効化

- 3.2.3.1 サード・パーティの証明書

- 3.2.3.2 Oracle Wallet

- 3.2.4 通信を保護するためのベスト・プラクティス

- 3.3 認証のガイドライン

- 3.3.1外部認証の有効化

- 3.3.1.1 認証のベスト・プラクティス

- 3.4 認可のガイドライン

- 3.4.1 権限およびロールの管理のベスト・プラクティス

- 3.4.2 最低限の権限の原則を使用したロール/権限の定義

- 3.4.3 権限伝播グループの使用

- 3.4.3.1 グループおよびシステムのベスト・プラクティス

- 3.5 監査のガイドライン

- 3.5.1 監査のベスト・プラクティス

- 3.6 ターゲット資格証明の管理のガイドライン

- 3.6.1 資格証明のベスト・プラクティス

4 Enterprise Managerでのデータベース管理のセキュリティ・ベスト・プラクティス

- 4.1 柔軟なデータベース・アクセス制御

- 4.1.1 データベース管理ロールおよび責任

- 4.1.2 アプリケーションDBAアクセス

- 4.1.2.1 アプリケーションDBAアカウントの作成

- 4.1.2.2 名前付き資格証明の作成

- 4.1.3 アプリケーション開発者アクセス

- 4.1.3.1 データベースに対するアプリケーション開発者アクセスの付与

- 4.1.3.2 データベース名前付き資格証明に対するアプリケーション開発者アクセスの付与

- 4.1.4 データベース・モニタリング・ユーザーアクセス

- 4.1.4.1 データベースに対する「データベース・パフォーマンスの表示」アクセスの付与

- 4.1.4.2 データベース・モニタリング・ユーザーとの資格証明の共有

- 4.1.5 データベース管理者アクセス

- 4.1.5.1 データベース管理者アカウントの作成

- 4.1.5.2 名前付き資格証明の作成

- 4.1.5.3 ロールおよび権限伝播グループによる権限の付与

- 4.1.6 権限グループ

- 4.1.6.1 データベース・アプリケーションDBA

- 4.1.6.2 データベース・アプリケーション開発者

- 4.1.6.3 「データベース高可用性の管理」権限グループ

- 4.1.6.4 「データベース高可用性の表示」権限グループ

- 4.1.6.5 「データベース・パフォーマンスの管理」権限グループ

- 4.1.6.6 「データベース・パフォーマンスの表示」権限グループ

- 4.1.6.7 「データベース・スキーマの管理」権限グループ

- 4.1.6.8 「データベース・スキーマの表示」権限グループ

- 4.1.6.9 「データベース・セキュリティの管理」権限グループ

- 4.1.6.10 「データベース・セキュリティの表示」権限グループ

- 4.1.6.11 「データベース記憶域の管理」権限グループ

- 4.2 データベースへのセキュアな通信(TCPS)アクセス

- 4.2.1 TCPSの構成

- 4.2.2 ターゲット・データベースとの通信用のサード・パーティCA証明書の構成

- 4.3 アカウント管理

5 トラブルシューティング

- 5.1 Enterprise Managerでの認証問題のトラブルシューティング

- 5.1.1 WebLogicデバッグ・フラグの有効化

- 5.1.2 ldap_trace.logATNファイルでのエラーのデバッグ

- 5.1.3 無効な資格証明

- 5.1.4 LDAPサーバーでのタイムアウト

- 5.1.5 ldap_trace.logATN以外でのエラー

6 リファレンス

A ロール

- A.1 あらかじめ用意されているロール

- A.2 SYSDBA権限がない場合のデータベース・ターゲットへのユーザー・アクセス

- A.2.1 管理者の作成

- A.2.2 「データベース・パフォーマンス」ページへのアクセスを必要とするユーザー

- A.2.3 AWRまたはADDMへのアクセスを必要とするユーザー

- A.2.4 SQLアクセス・アドバイザへのアクセスを必要とするユーザー

- A.2.5 SQLチューニング・アドバイザへのアクセスを必要とするユーザー

B 権限

C 監査操作

索引

はじめに

このガイドでは、Enterprise Manager Cloud Control 13cのセキュリティの設定方法を説明します。

この章の内容は次のとおりです。

- 対象読者

- ドキュメントのアクセシビリティについて

- 関連ドキュメント

- 表記規則

対象読者

このドキュメントは、Enterprise Managerのセキュリティを設定および管理する必要のある管理者を対象としています。

ドキュメントのアクセシビリティについて

Oracleのアクセシビリティについての詳細情報は、Oracle Accessibility ProgramのWeb サイト(http://www.oracle.com/pls/topic/lookup?ctx=acc&id=docacc)を参照してください。

Oracle Supportへのアクセス

Oracleサポート・サービスでは、My Oracle Supportを通して電子支援サービスを提供しています。詳細情報は(http://www.oracle.com/pls/topic/lookup?ctx=acc&id=info) か、聴覚に障害のあるお客様は (http://www.oracle.com/pls/topic/lookup?ctx=acc&id=trs)を参照してください。

関連ドキュメント

これらのドキュメントやその他のOracleドキュメントの最新リリースについては、Oracle Technology Networkの次のページを確認してください。

http://www.oracle.com/technetwork/documentation/index.html#em

Oracle Enterprise Managerには詳細なオンライン・ヘルプも用意されています。Enterprise Managerのページの一番上にある「ヘルプ」をクリックすると、オンライン・ヘルプ・ウィンドウが表示されます。

表記規則

このマニュアルでは次の表記規則を使用します。

規則

意味

太字

太字は、操作に関連するGraphical User Interface要素、または本文中で定義されている用語および用語集に記載されている用語を示します。

イタリック体

イタリックは、ユーザーが特定の値を指定するプレースホルダ変数を示します。

固定幅フォント

固定幅フォントは、段落内のコマンド、URL、サンプル内のコード、画面に表示されるテキスト、または入力するテキストを示します。

1 セキュリティの概要

この章では、セキュリティの概念と考慮事項の概要を示します。

内容は次のとおりです。

- セキュリティの脅威

- セキュリティの原則

今日のIT環境は、本質的に動的で複雑で、経済的影響の観点からセキュリティ違反の可能性があり、厳しい規制的要件と組み合された信頼性が失われているため、経営者およびIT管理者の両者にとってセキュリティは考慮が必要な重要な分野となっています。セキュリティの考慮事項はスタンドアロン・アプリケーションにとって重要ですが、分散されたシステム管理アプリケーションを導入すると、これはさらに難しくしなります。データベースおよびアプリケーション・サーバーに対しては、標準化されたセキュリティのベスト・プラクティスを利用できますが、システム管理製品向けに特別に標準化されたセキュリティ・ベンチマークはありません。ただし、Enterprise Managerは評価されており、過去にコモン・クライテリア承認アレンジメントによりサード・パーティのセキュリティ認証を受けています。

Enterprise Managerを保護するには、システム管理者、ネットワーク管理者、データベース管理者、アプリケーション管理者およびセキュリティ・チームと密接に協力する必要があります。このドキュメントを使用すると、すべての関係者は、Oracle Enterprise Managerのデプロイメントを保護するための様々なセキュリティの考慮事項やベスト・プラクティスを確認できます。このドキュメントに記載された推奨事項は、お客様のデプロイメントおよびオラクル社内部でのEnterprise Managerの使用の両方の経験に基づいています。

1.1 セキュリティの脅威

次の表は、Enterprise Manager Cloud Control環境への主なセキュリティの脅威についてまとめたものです。

表1-1 セキュリティの脅威

脅威

セキュリティに関する考慮事項

解決策/ベスト・プラクティス

中間者攻撃

データの機密保護および整合性

データの機密保護および整合性

- アクセスを認可されていなければ、エンティティに公開されない

- 認可されていないまたは誤った方法で変更、破棄または消失しない

中間者攻撃

- トランジションでデータを割込み、傍受、変更または作成する

ベスト・プラクティス:Enterprise Managerコンポーネント間の通信を保護する

サービス拒否攻撃

データ可用性

データ可用性

- 認可されたエンティティによる要求に応じて使用可能

サービス拒否攻撃

- 対応できる量を超えるリクエストを大量に送信し、対象のユーザーが管理リポジトリまたはOMSを使用できなくする

ベスト・プラクティス:個々のEnterprise Managerコンポーネントを保護する

パスワード解析攻撃

認証

認証

- ユーザーに要求されたID(通常はユーザー名とパスワード)を検証するプロセス

パスワード解析攻撃

- 認証交換からパスワードを取得し、そのパスワードを使用してEnterprise Manager Cloud Controlにログオンする
例: 推測、辞書攻撃および総当たり攻撃

ベスト・プラクティス: パスワードを変更し、パスワード・プロファイルを有効にする

認可の利用

職務の分離

認可の利用

- 権限を持っていないリソース(ターゲット、ジョブ、テンプレートなど)のアクセス

職務の分離

- 複数の関連する機能に対する職責をだれにも付与してはならない

ベスト・プラクティス: 最低限の権限の原則に従う

拒否

非拒否

アクションのアカウンタビリティ

- ネットワーク・セキュリティ: 送信者および受信者のいずれも後に情報を処理したことを否定できない

- Webアプリケーション・セキュリティ: アプリケーションで行ったアクションを後に否定することはできない

拒否

- 発生したもののオーサリングを拒否

ベスト・プラクティス:Enterprise Managerの動作を監査する

1.2 セキュリティの原則

次の基本原則が、効果的なシステム・セキュリティを実装するすべての戦略の基礎となっています。

- 職務の分離と最低限の権限の原則

- 暗号化

- 疑わしいアクティビティの監視(監査)

- 非拒否

1.2.1 職務の分離と最低限の権限の原則

最低限の権限の原則と職務の分離は、意味的には異なりますが、セキュリティの観点から本質的に関連している概念です。両者の背後にある目的は、実際に必要な権限レベルよりも高い権限をユーザーに持たせないようにすることです。これらの関係の枠組みができたので、次にこれらの概念を定義します。

- 最低限の権限の原則: ユーザーはジョブの実行に必要な最低量の権限のみを持ち、それ以上は持ちません。これは、ターゲットやジョブなどのEnterprise Managerリソースへのアクセスを制限するか、認可されていないテンプレートを監視することによって、認可の利用を減らします。
例: 人事のデータベースを監視および管理することが唯一の職務であるユーザーは、Oracle Management Service (OMS)においてEnterprise Managerプラグインをアクセスおよび管理する権限は必要ありません。

- 職務の分離: ユーザーの権限レベルの制限以外に、ユーザーの職務またはユーザーがEnterprise Managerで実行できる特定のジョブを制限することもできます。複数の関連する機能に対する職責をユーザーに付与することはできません。これにより、ユーザーが悪質な行為を実行する能力を制限し、その行為を隠すことができます。
例: ユーザー・アカウントを作成する職責のあるEnterprise Manager管理者がいます。ところが、その管理者は不要な(たとえば機密なシステムへのアクセス権を認可されていない同僚に対する)アカウントを作成できてしまいます。この管理者が監査ログを表示および消去できる場合、身勝手な管理者を捕まえられない問題が起こる可能性があります。この状況では、アカウント作成の職務をセキュリティ管理の職務から分離させる必要があります。この場合、アカウント管理者は、セキュリティ管理者であってはなりません。

効果を期待するには、組織のすべてのEnterprise Managerユーザーに対して、最低限の権限の原則および職務の分離を強化する必要があります。

1.2.2 暗号化

暗号化は、秘密鍵と暗号化アルゴリズムを使用して、データを読取り不可能な形式に変換するプロセスです。Enterprise Managerでは、emkeyがEnterprise Manager環境内の機密データを暗号化および復号化する鍵となっています。emkeyは、認可されたユーザーのみがアクセス可能とすることが大切です。

1.2.3 疑わしいアクティビティの監視(監査)

Enterprise Managerの管理者が、新しいスーパー管理者アカウントの作成などの上位の権限を使用するときには常に、Enterprise Managerの監査ログを確認して、これらのアカウント作成アクションが保証されたものであったかを判断できる必要があります。Enterprise Managerの監査機能では、発生したすべての管理者のアクションを監視および記録できます。次のようなアクティビティを実行できます。

- 不審なアクティビティの調査。たとえば、あるユーザーが自分の職責外でシステムを頻繁にアクセスした場合、セキュリティ管理者はそれらのマシンへのアクセスを追跡することを決定できます。

- 認可されていないユーザーのアクションをスーパーバイザに通知。たとえば、認可されていないユーザーがデータを変更または削除を実行できるなど、予期した以上の権限を持っている場合に、ユーザー認可を再評価できます。

1.2.4 非拒否

非拒否は、ユーザーが特定のアクションを実行したことを「証明」することによって、ユーザー・アクションのアカウンタビリティを確立する方法です。そのため、ユーザーはそのアクションを実行したことを偽って否定できなくなります。反対に、非拒否を使用すると、後に特定のアクションを実行したことを責められた場合に、ユーザーを守ることもできます。

データに関しては、非拒否は所定の送信者が特定のメッセージを実際に送信したことを証明する方法です。通常、否拒否はデジタル署名を使用して実行されます。メッセージの作成者は暗号化ツールを使用して、暗号化されていない判読可能なメッセージまたは平文を暗号化された暗号文に変換します。元のテキストは存在しますが、傍受されたとしても解読できない形式に変更されています。メッセージの受信者も暗号化ツールを使用し、暗号文を元の読取り可能な形式に復号化します。

2 セキュリティ機能

この章の内容は、次のとおりです。

- 認証の構成

- 権限とロール認可の構成

- セキュアな通信の構成

- ターゲット資格証明の構成と使用

- 暗号化鍵の構成と使用

- 監査の構成と管理

- セキュリティのその他の考慮事項

2.1 認証の構成

Enterprise Managerの認証は、Enterprise Managerにアクセスするユーザーの妥当性を確認するプロセスです。認証機能は、Enterprise ManagerコンソールやEnterprise Managerコマンドライン・インタフェース(EM CLI)などの様々なインタフェースで使用可能です。

Enterprise Managerの認証フレームワークは、環境に最も適した認証プロトコルを使用可能にするプラガブルな認証スキームで構成されています。

注意:
Oracle Enterprise Manager 13cは、外部認証方法について、OMSスタックの一部である基礎となるWebLogic Serverに依存しています。そのため、Enterprise Manager 12cは、Oracle WebLogic Serverでサポートされる認証方法を使用して認証できます。理論的にはすべてに対して構成可能であるべきですが、今までのところ一部のプロバイダのみが認定されています。

2.1.1 サポートされている認証スキーム

Enterprise Managerは、次の認証スキームをサポートしています。

- リポジトリベースの認証:
このスキームでは、ユーザーがEnterprise Managerコンソールにログオンすると常に、管理者のユーザー名およびパスワードをEnterprise Managerのリポジトリに保存し、これらの保存された値に対して検証を行います。作成されたEnterprise Managerユーザーは、リポジトリ(データベース)ユーザーでもあります。このオプションを使用すると、この認証方法によって得られるOracle Databaseユーザー管理の利便性(パスワード・プロファイル、パスワードの複雑性の強化、パスワードの有効期限および許容される失敗試行回数によるパスワードの制御など)を利用できます。パスワードの猶予期間の間は管理者はパスワードを変更するように求められますが、パスワードが期限切れになった場合には必ず変更する必要があります。詳細は、第2.1.2項「新規管理者の作成」を参照してください。

- Oracle Access Manager (OAM)シングル・サインオン(SSO)ベースの認証: Oracle Access Managerは、Oracle Fusion Middlewareのシングル・サインオン・ソリューションです。ベースとなるアイデンティティ・ストアは、Oracle Access Managerでサポートされているエンタープライズ・ディレクトリ・アイデンティティ・ストアです。この認証スキームは、すべてのエンタープライズ・アプリケーションにわたる認証用の中心的ツールとしてOracle Access Managerで標準化されたデータ・センターに使用されます。Kerberosなどのプロトコルを認証用にサポートする場合には、これに合せてOAMを構成する必要があります。OAMの詳細は、『Oracle Fusion Middleware Oracle Access Manager管理者ガイド13cリリース1 (11.1.1)』を参照してください。

- エンタープライズ・ユーザー・セキュリティベースの認証: エンタープライズ・ユーザー・セキュリティ(EUS)オプションを使用すると、LDAP準拠ディレクトリ・サーバーでOracle Databaseのエンタープライズ・ユーザーおよびロールを作成および保存できます。EUSを使用してEnterprise Managerリポジトリを構成した後、第2.1.4項「エンタープライズ・ユーザー・セキュリティベースの認証」の説明に従って、Enterprise ManagerをEUSを認証メカニズムとして使用するよう構成できます。任意のEUSユーザーをEnterprise Manager管理者として登録できます。
EUSは、Enterprise Manager管理者の認証に使用できる他、データベースのターゲット資格証明の管理を簡素化するためにも使用できます。EUSは、複数のデータベース間におけるユーザーとロールの管理を一元化する上で役に立ちます。管理対象データベースがEUSを使用して構成されている場合、これらのデータベースへのログイン・プロセスが容易になります。管理対象データベースにドリルダウンすると、Enterprise ManagerはEnterprise Managerの資格証明を使用してデータベースへの接続を試行します。成功すると、ログオン・ページを表示することなくEnterprise Managerが直接データベースに接続されます。

- LDAP認証オプション: Oracle Internet DirectoryおよびMicrosoft Active Directory

- Oracle Internet Directory (OID)ベースの認証 - Oracle Internet DirectoryはOracleデータベースに構築されたLDAP v3準拠ディレクトリで、Oracle Fusion MiddlewareおよびOracle Applicationsに完全に統合されています。そのため、Oracle環境やOracleデータベースのノウハウを持つ企業に適しています。OIDをアイデンティティ・ストアとする認証スキームを使用する場合、アプリケーションでOIDによるユーザーの認証を行うことができます。

- Microsoft Active Directoryベースの認証 - Microsoft Active DirectoryはWindowsネットワークで認証および認可機能を提供するディレクトリ・サービスです。Microsoft Active Directoryをアイデンティティ・ストアとして使用する場合、このスキームを組み込み、アプリケーションでMicrosoft Active Directoryによるユーザーの認証を行うことができます。

注意:
Enterprise Managerは、特定の認証スキームがサポートされ、WebLogic Serverに統合されているかぎり、外部の認証をサポートします。

これらの認証スキームは組織内でテストされており、次に示す外部認証スキームの一部はemctl config authユーティリティ・コマンドを使用して構成できます。このコマンドは、必要なWebLogicプロバイダを構成し、さらに必要なOMSプロパティを設定します。

emctlユーティリティ・コマンドがWebLogic認証プロバイダを構成する認証スキームでは、このコマンドは必要な構成パラメータを設定し、他のほとんどのパラメータをデフォルト値のままにします。管理者は、本番に入る前に、WebLogicプロバイダの構成パラメータが環境に合ったパフォーマンス用に調整されていることを確認する必要があります。これはWebLogic管理コンソールで実行できます。

プロバイダの調整の詳細は、『Oracle® Fusion Middleware Oracle WebLogic Serverの保護』を参照してください。

2.1.2 新規管理者の作成

Enterprise Managerでは、新しい管理者アカウントを作成して管理できます。管理者アカウントには、それぞれ独自のログオン資格証明や、アカウントに割り当てられた一連のロールおよび権限が含まれています。管理者にパスワード・プロファイルを割り当てることもできます。新規の管理者アカウントを作成および管理するには、Enterprise Managerのスーパー管理者権限が必要になります。

管理者アカウントを作成、編集または表示する手順は、次のとおりです。

1. 「設定」メニューから、「セキュリティ」、「管理者」の順に選択します。管理者ページが表示されます。

2. 「管理者」ページで適切なタスク・ボタンをクリックします。「認証」ページが表示されます。
デフォルトの認証方法として、リポジトリ・ベースの認証が選択されています。

2.1.2.1 リポジトリ・ベースの認証

リポジトリ・ベースの認証は、Enterprise Managerの認証のデフォルトの方法です。この認証方法では、新規管理者がリポジトリ内に作成されます。

注意:
リポジトリ・ベースの認証が、デフォルトの認証の方法です。

このページでは、作成する管理者アカウントのタイプを指定し、パスワード・プロファイルを選択できます。「パスワード変更の回避」チェック・ボックスを選択した場合、管理者はパスワードを変更できません。

「パスワード即期限切れ」チェック・ボックスを選択すると、新規の管理者アカウントのパスワードは有効期限切れの状態に設定されます。パスワードの有効期限が切れている場合、新規の管理者がログインするとパスワードの変更ページが表示され、管理者はパスワードを変更するよう求められます。

管理者は、現在のパスワードと新しいパスワードを入力し、「適用」をクリックします。これで、Enterprise Managerを使用できるようになります。

2.1.2.1.1 新規ユーザーの作成(コマンドライン)

次の例では、User1をEnterprise Managerユーザーにします。ここでは、ユーザーについての説明を指定し、パスワードを変更できないようにしています。他のスーパー管理者のみがパスワードを変更できます。プロファイルはMGMT_ADMIN_USER_PROFILEとして設定されます。

例2-1 コマンドライン

emcli create_user
-name="User1"
-desc="This is temp hire."
-prevent_change_password="true"
-profile="MGMT_ADMIN_USER_PROFILE"

例2-2 スクリプトおよび対話形式

create_user
(name="User1"
,desc="This is temp hire."
,prevent_change_password="true"
,profile="MGMT_ADMIN_USER_PROFILE")

2.1.2.2 デフォルトの認証方法への復元

次の各項では、Enterprise Managerのデフォルトの認証方法に復元する方法について説明します。

2.1.2.2.1 シングル・サインオン・ログオン・ページの省略

OMSがSSO、OAMまたはその他の認証方法を使用するよう構成されている場合、シングル・サインオンまたはOAM認証を省略する必要がある場合があります。SSOログオン・ページを省略するには、次のURLに接続します。

1. https://ms_host:ms_https_port/emに接続します。
ms_hostとms_https_portは、WLS管理対象サーバーのホスト名とポート番号です。これらのパラメータは、EM_INSTANCE_HOME/emgc.propertiesファイルに含まれています。このファイルでは、EM_INSTANCE_HOSTとMS_HTTPS_PORTとリストされています。

2. リポジトリ・ユーザーの資格証明を使用してログインします。

2.1.2.2.2 デフォルトの認証方法の復元

1. OMSごとに次のコマンドを実行します。
emctl config auth repos [-sysman_pwd <pwd>]

コマンドの出力例:

Oracle Enterprise Manager Cloud Control 13c Release 12.1.0.3.0
Copyright (c) 1996, 2013 Oracle Corporation.  All rights reserved.
Configuring Repos Authentication ... Started
Configuring Repos Authentication ... Successful
If you have updated files like httpd.conf (for example, while installing WebGate), rollback them.
If this is a multi-OMS environment, execute this command on remaining servers.
After that, restart OMS(s) using: 'emctl stop oms -all' and 'emctl start oms'

2. OMSごとに次のコマンドを実行します。
emctl stop oms -all

emctl start oms

OAM SSOを構成した場合、手動でWebgateをアンインストールし、WebgateディレクティブをApache httpd.confから削除します。

OSSOで構成した場合、OSSOディレクティブをhttpd.confから削除します。

2.1.3 管理者の削除

管理者アカウントを削除するには:

1. 「設定」メニューから、「セキュリティ」、「管理者」の順に選択します。管理者ページが表示されます。

2. 削除する管理者を選択し、「削除」をクリックします。

3. 確認のページで、「はい」をクリックします。

管理者にリソースが割り当てられている場合、管理者の削除ページが表示されます。管理者の削除ページを使用して、管理者をEnterprise Managerから削除する際に管理者が所有していたオブジェクトをどのように扱うかを指定できます。このページでは、次の操作が可能です。

- Enterprise Manager管理者とともにすべての管理者所有オブジェクトを削除管理者と関連のジョブ・タイプ、ジョブ、修正処理、レポート定義、レポート、テンプレートを削除します。ブラックアウトは削除されません。

- 別のEnterprise Manager管理者へのオブジェクトの再割当て管理者のオブジェクトを別の管理者に割り当てます。その管理者に属する資格証明は、再割当てが行われる前にリポジトリから削除されます。

使用上のヒント

「オブジェクトの表示」をクリックすると、削除するEnterprise Manager管理者が現在所有しているすべてのオブジェクトが表示されます。

オブジェクトを別の管理者に再割当てするには、「新規所有者」テキスト・ボックスに新規管理者の名前を入力するか、懐中電灯アイコンをクリックして使用可能な管理者のリストを表示します。

スーパー管理者のみが他のEnterprise Manager管理者を削除できます。Enterprise Managerでは、管理者は次の処理を行うことができません。

- 自身の削除。

- 管理リポジトリ所有者の削除。

管理者オブジェクトの再割当ては、次のように処理されます。

- 「ブラックアウト」は、ブラックアウトの影響を受けるすべてのターゲットに対して「オペレータ」権限を持つ任意のユーザーに再割当てできます。

- 「ジョブ」は任意の管理者に再割当てできます。ただし、ジョブに関連付けられているすべての資格証明は削除され、ジョブは「一時停止中」状態のままになります。このため、新規ジョブ所有者は新規資格証明を明示的に設定する必要があります。現在実行中のジョブは実行を継続できます。新規ジョブ所有者が資格証明を設定すると、ジョブは「SCHEDULED」状態に戻ります。

- 「修正処理」は、修正処理の操作対象となるターゲットに対して「オペレータ」権限を持つ任意の管理者に再割当てできます。

- 「レポート定義」は、任意の管理者に再割当てできます。

- 「レポート」は、任意の管理者に再割当てできます。

- 「監視テンプレート」は、任意の管理者に再割当てできます。

2.1.4 エンタープライズ・ユーザー・セキュリティベースの認証

エンタープライズ・ユーザー・セキュリティでは、Oracle Internet Directory (OID)やMicrosoft Active DirectoryなどのLDAP準拠のディレクトリ・サーバーにOracle Databaseの情報をディレクトリ・オブジェクトとして作成して格納できます。たとえば、管理者は、Oracle Databaseのエンタープライズ・ユーザーとロールをディレクトリに作成したり、格納できるため、複数のデータベースのユーザーとロールの管理の一元化に役立ちます。

関連項目:
『Oracle Database Advanced Securityガイド』のエンタープライズ・ユーザー・セキュリティ構成のタスクおよびトラブルシューティングに関する項

現在、エンタープライズ・ユーザー・セキュリティを使用してすべてのOracle DatabaseのOracleユーザーやロールを管理している場合、この機能を拡張してEnterprise Manager管理者アカウントも管理するようにできます。エンタープライズ・ユーザー・セキュリティで使用するようにEnterprise Managerを構成すると、Oracle Enterprise Managerコンソールで管理しているデータベース・ターゲットへのログイン・プロセスが簡単になります。

エンタープライズ・ユーザー・セキュリティで使用するようにEnterprise Managerを構成するには、次の手順を実行します。

1. Oracle Management Repositoryデータベースと、Cloud Controlコンソールで管理するデータベース・ターゲットに対してエンタープライズ・ユーザー・セキュリティが有効であることを確認します。詳細は、『Oracle Database Advanced Securityガイド』を参照してください。

2. emctl set propertyコマンドを使用して次のプロパティを設定します。

oracle.sysman.emSDK.sec.DirectoryAuthenticationType=EnterpriseUser

注意:
複数OMS構成の場合、このコマンドは各OMSで実行される必要があります。

例:

emctl set property -name oracle.sysman.emSDK.sec.DirectoryAuthenticationType -value EnterpriseUser

3. Oracle Management Serviceを停止します。
emctl stop oms -all

関連項目:
24-4ページの「Oracle Management Serviceの制御」

4. 管理サービスを開始します。
emctl start oms

次回Oracle Enterprise Managerコンソールを使用して管理対象データベースにドリルダウンすると、Enterprise Managerはエンタープライズ・ユーザー・セキュリティを使用してデータベースへの接続を試みます。これが成功した場合、ログオン・ページは表示されずにEnterprise Managerによってデータベースに接続します。エンタープライズ・ユーザー・セキュリティの使用が失敗した場合、Enterprise Managerからデータベースの資格証明が求められます。

2.1.4.1 エンタープライズ・ユーザー(EUSユーザー)のEnterprise Managerユーザーとしての登録

エンタープライズ・ユーザー(EUS)を使用するようにEnterprise Managerを構成すると、既存のエンタープライズ・ユーザーをEnterprise Managerユーザーとして登録し、Enterprise Managerを効率的に管理できるようにそのユーザーに必要な権限を付与できます。

既存のエンタープライズ・ユーザーを登録するには、次のインタフェースを使用します。

- Enterprise Managerコンソール

- Enterprise Managerコマンドライン・インタフェース(EM CLI)

2.1.4.1.1 Enterprise Managerコンソールを使用したエンタープライズ・ユーザーの登録

Enterprise Managerコンソールを使用してエンタープライズ・ユーザーを登録するには、次の手順を実行します。

1. スーパー管理者としてEnterprise Managerにログインします。

2. 「設定」メニューから、「セキュリティ」、「管理者」の順に選択し、管理者ページを表示します。Enterprise Managerはエンタープライズ・ユーザーを使用するように構成されているため、管理者の作成ウィザードの最初のページには、登録されているOracle Internet Directoryユーザーまたは通常のデータベース・ユーザーに基づいて管理者を作成するオプションが表示されます。

3. Oracle Internet Directoryを選択し、「続行」をクリックしてウィザードの次のページに移動します。

4. Oracle Internet Directoryユーザーの名前と電子メール・アドレスを入力するか、懐中電灯アイコンをクリックしてOracle Internet Directoryでユーザー名を検索します。

5. ウィザードの残りのページを使用してEnterprise Manager管理者のロール、システム権限、その他の特徴を定義してから「終了」をクリックします。Enterprise Managerには、管理者アカウントの特徴をリストする概要ページが表示されます。

6. 「終了」をクリックして、新しいEnterprise Manager管理者を作成します。
これで、OIDユーザーがEnterprise Manager管理者のリストに含まれます。Cloud Controlコンソールからログアウトし、シングル・サインオン・ログオン・ページでOIDユーザーの資格証明を使用してログインしなおすことで、アカウントを検証できます。

2.1.4.1.2 コマンドライン・インタフェースを使用したエンタープライズ・ユーザーの登録

EM CLIを使用してエンタープライズ・ユーザーをEnterprise Managerユーザーとして登録するには、次のコマンドを入力します。

emcli create_user -name=eususer -type=DB_EXTERNAL_USER

このコマンドでは、eususerをEnterprise Managerユーザーとして登録します。eususerは、既存のエンタープライズ・ユーザーです。

2.1.5 Oracle Internet Directory (OID)

OIDベースの認証スキームを実装し、Enterprise ManagerでOIDによるユーザーの認証を行うことができます。

OMSでemctl config auth oidコマンドを実行して、コマンドで指定した構成パラメータ値を使用する、OracleInternetDirectoryAuthenticatorタイプのWebLogic認証プロバイダを作成します。指定しない構成値はデフォルト値のままです。拡張OID構成パラメータのチューニングと変更は、emctl config auth oidコマンドではなく、WebLogic Server管理コンソールを使用して実行されます。

注意:
LDAPトラブルシューティングを実行する必要があるイベントでは、WebLogic Serverコンソールから、LDAPトレース・ログ・ファイル(ldap_trace.logATN)の生成を有効にします。詳細は、「Enterprise Managerでの認証問題のトラブルシューティング」 を参照してください。

2.1.5.1 前提条件

Oracle Internet Directory LDAPサーバーが設定され、実行中です。

WebLogic管理サーバーが起動され、実行中であること。

1. 各OMSでemctl config auth oidコマンドを実行します。

emctl config auth ad -ldap_host <ldap host> -ldap_port <ldap port>
-ldap_principal <ldap principal> [-ldap_credential <ldap credential>] [-sysman_pwd <pwd>]
-user_base_dn <user base DN> -group_base_dn <group base DN> [-user_dn <dn>] [-group_dn <dn>]
[-enable_auto_provisioning] [-auto_provisioning_minimum_role <min_role>] [-minimum_privilege <min_priv>]
[-use_ssl] [-cert_file <cert>] [-trust_cacerts] [-use_anonymous_bind] [-keystore_pwd <passwd>]

説明:

- ldap_host: LDAPホスト名

- ldap_port: LDAPポート

- ldap_principal: WebLogic ServerがLDAPサーバーとの接続に使用するLDAPユーザーの識別名(DN)。

- ldap_credential: ldap_principalで指定されたユーザーのパスワード。

- user_base_dn: ユーザーが含まれているLDAPディレクトリのツリーの基本識別名(DN)。

- group_base_dn: グループが含まれているLDAPディレクトリのツリーの基本識別名(DN)。

- enable_auto_provisioning: 指定されると、Enterprise Managerで自動プロビジョニングを有効にします。外部LDAPユーザーをEnterprise Managerで手動でプロビジョニングする必要がなくなります。

- auto_provisioning_minimum_role <min_role>: 指定されると、LDAPにおいてmin_roleが付与されたEnterprise Manager内の外部ユーザーのみを自動プロビジョニングします。

- minimum_privilege <min_priv>: 指定されると、min_privが付与されていないユーザーへのEnterprise Managerへのアクセスが禁止されます。

- use_ssl: LDAPサーバーへの接続にSSLを使用します。

- cert_file <cert>: 渡されたLDAPサーバー証明書を使用して、sslによるLDAPサーバーへの接続の間に信頼性を確立します。このオプションは、LDAPサーバーによく知られていない(信頼されない)認証局により署名された証明書がある場合に指定します。注意: これは単一の証明書を想定しています。証明連鎖のインポートはサポートしていません。keytoolユーティリティを使用してインポートしてから、このコマンドを実行してください。

- trust_cacerts: LDAPサーバーへの接続の間、LDAPサーバーの証明書を信頼します。これは通常、証明書がよく知られたCAにより署名されている場合に使用します。

- keystore_pwd <passwd>: デフォルトのDemoTrust.jksキーストア(デフォルトのパスワードが変更された場合)または検証の一部としてLDAPサーバーの証明書がインポートされるカスタムのキーストアのパスワード。

- use_anonymous_bind: 指定されると、LDAPサーバーに接続するために匿名バインドを使用します。

例:

emctl config auth oid -ldap_host "ldaphost" -ldap_port "3060" -ldap_principal "cn=orcladmin,cn=users,dc=us,dc=oracle,dc=com" -user_base_dn "cn=users,dc=us,dc=oracle,dc=com" -group_base_dn "cn=groups,dc=us,dc=oracle,dc=com" -ldap_credential "my_ldap_password" -sysman_pwd "my_sysman_password"

2. OMSを停止します。
emctl stop oms -all

3. OMSを再起動します。
emctl start oms

注意:
複数OMSインスタンスで構成されるEnterprise Managerのデプロイメントの場合、emctl config auth oidを各OMSで実行する必要があります。変更内容を有効にするには、各OMSを再起動する必要があります。

2.1.5.2 OID構成のテスト

WebLogic Server管理コンソールを使用して(「ユーザーとグループ」タブ)、OID構成が成功したかどうかを確認します。このタブに移動するには、「ホーム」、セキュリティ・レルムのサマリー、myrealm、「ユーザーとグループ」の順に選択します。「ユーザーとグループ」タブで、OIDから表示されるユーザーおよびグループを確認する必要があります。

2.1.6 Microsoft Active Directoryベースの認証

Microsoft ADベースの認証スキームを実装し、Enterprise ManagerでActive Directoryに対するユーザーの認証を行うことができます。

OMSでemctl config auth adコマンドを実行すると、このコマンドで指定した構成パラメータ値を使用する、ActiveDirectoryAuthenticatorタイプのWebLogic認証プロバイダが作成されます。指定しない構成値はデフォルト値のままです。拡張AD構成パラメータのチューニングと変更は、emctl config auth adコマンドではなく、WebLogic Server管理コンソールを使用して実行されます。

次の手順を実行する前に、Active DirectoryのLDAPサーバーが起動され実行中であることを確認します。

1. 各OMSでemctl config auth oidコマンドを実行します。

emctl config auth ad -ldap_host <ldap host> -ldap_port <ldap port>    -ldap_principal <ldap principal> [-ldap_credential <ldap credential>] [-sysman_pwd <pwd>]    -user_base_dn <user base DN> -group_base_dn <group base DN>

説明:

- ldap_host: Active Directoryがインストールされているマシンの名前。

- ldap_port: Active Directoryがリクエストをリスニングしているアクティブ・ポート。

- ldap_principal: ユーザーの妥当性を確認するために、WebLogic ServerがLDAPサーバーとの接続に使用するActive Directoryユーザーの識別名(DN)。

- ldap_credential: ldap_principalで指定されたユーザーのパスワード。

- sysman_pwd: SYSMANパスワード。このパスワードは、必要なプロパティ値の変更をEnterprise Managerに設定するために必要です。

- user_base_dn: ldap_principalとして指定されたユーザーには、このディレクトリへの読取りアクセス権が必要です。ユーザーが複数のベースDNに配置されている場合、このフィールドには最上位の最も一般的なDNを入力します。このフィールドは、複数エントリは受け付けません。

- group_base_dn: ldap_principalとして指定されたユーザーには、このディレクトリへの読取りアクセス権が必要です。

例:

emctl config auth ad -ldap_host "ldaphost" -ldap_port "3060" -ldap_principal "cn=orcladmin" -user_base_dn "cn=users,dc=us,dc=oracle,dc=com" -group_base_dn "cn=groups,dc=us,dc=oracle,dc=com" -ldap_credential "my_ldap_password" -sysman_pwd "my_sysman_password"

2. OMSを停止します。
emctl stop oms -all

3. OMSを再起動します。
emctl start oms

注意:
複数OMSインスタンスで構成されるEnterprise Managerのデプロイメントの場合、emctl config auth adを各OMSで実行する必要があります。変更内容を有効にするには、各OMSを再起動する必要があります。

2.1.6.1 Microsoft Active Directoryの構成テスト

WebLogic Server管理コンソールを使用して(「ユーザーとグループ」タブ)、Microsoft Active Directory構成が成功したかどうかを確認します。このタブに移動するには、「ホーム」、セキュリティ・レルムのサマリー、myrealm、「ユーザーとグループ」の順に選択します。「ユーザーとグループ」タブに、Microsoft Active Directoryのユーザーとグループが表示されます。

2.1.7 外部ロールを使用した外部認可

Enterprise Managerをユーザーの外部認証用に構成する場合、外部認証プロバイダとともに機能するように構成して認可を管理することもできます。これは外部ロールを使用して行われます。これは、自動プロビジョニングされたユーザーがEnterprise Managerロールを付与されていない場合(この場合に限定されません)など、多くのシナリオで役立ちます。外部ロールの背景にあるアイデアは、適切な権限を使用してEnterprise Managerでロールを作成し、ロールの名前をLDAPグループの名前と一致させることです。LDAPグループの一部であるユーザーは、Enterprise Managerに一度ログオンするとそのロールでの権限を自動的に付与されます。

外部ロールを設定するには、Enterprise Managerでロールを作成し、それを外部としてマークします。このロールの名前は、外部LDAPグループと同じである必要があります。必要なロールと権限でこのロールを設定します。たとえば、Enterprise Managerで、外部としてマークされたEM_ADMINというロールを作成できます。EM_ADMINという名前は、LDAPグループのEM_ADMINという名前と一致します。JohnDoeがEM_ADMIN LDAPグループのメンバーだとすると、Enterprise Managerのユーザーでもあります。JohnDoeがEnterprise Managerにログオンすると、Enterprise ManagerのロールEM_ADMINで定義されたすべての権限が付与されます。

2.1.7.1 自動プロビジョニング

通常、外部LDAPユーザーは、Enterprise Managerコンソールにログインできるようになる前に、Enterprise Managerで作成される必要があります。自動プロビジョニングでは、ユーザーが最初にEnterprise Managerに正常にログオンすると、Enterprise Managerのユーザー・アカウントが自動的に作成されるため、この必要がなくなります。

自動プロビジョニングを有効にするには、OMSプロパティのoracle.sysman.core.security.auth.autoprovisioningをtrueに設定します。

このパラメータは、emctlまたはコンソールを使用して設定できます。

これにより外部ユーザーは、Enterprise ManagerリポジトリでEnterprise Managerユーザーとして最初に作成されなくてもログインできるようになります。このユーザー・アカウントは、最初のログインで自動的に作成されます。このプロパティが一度設定されると、すべての外部LDAPユーザーがEnterprise Managerコンソールにログインできるようになります。自動プロビジョニング機能を特定のLDAPグループのメンバーのみなど、ユーザーのサブセットにさらに制限するには、別のOMSプロパティのoracle.sysman.core.security.auth.autoprovisioning_minimum_roleを設定します。このプロパティは、メンバーが自動プロビジョニングされる必要のあるLDAPグループに設定される必要があります。たとえば、EM_ADMINに設定された場合、EM_ADMINというLDAPグループのメンバーのみがEnterprise Managerにログインでき、Enterprise Managerで自動的に作成されたユーザー・アカウントを持つことになります。

2.1.7.2 外部ユーザー表示名に別の名前を使用

デフォルトでは、WebLogicコンソール>「セキュリティ・レルム」>「myrealms」>「ユーザーとグループ」>「ユーザー・リスト」に表示されるユーザー名を使用してOracle Enterprise Managerにログインする必要があります。外部プロバイダでOracle Enterprise Managerを認証すると、WebLogicコンソールのユーザー・リストに外部ユーザーのcn値が表示されます。

一部の環境では、cn値の形式は'FIRST NAME LAST NAME'です。sAMAccountNameまたはユーザーID (UID)を使用してOracle Enterprise Managerにログインする場合は、プロバイダの構成を更新する必要があります。

たとえば、WebLogicコンソールにユーザー名'TEST USER'と表示されるユーザーが、このユーザーのsAMAccountNameである'tuser'としてOracle Enterprise Managerにログインするとします。

注意:
この例ではsAMAccountNameが使用されています。UIDを使用するには、次の手順でsAMAccountNameをuidに置き換えます。

1. 外部プロバイダで、外部ユーザーに構成されているパラメータ/プロパティをチェックします。

2. パラメータ'cn'の値は'TEST USER'です。

3. 同じファイルで、ユーザーの値が'tuser'のパラメータを探します。そのパラメータは'sAMAccountName'です。

外部ユーザー(tuser)のsAMAccountNameを使用してOracle Enterprise Managerにログインするには:

1. <GC DOAMIN>/config/config.xmlファイルをバックアップします。

2. WebLogicコンソールで、「セキュリティ・レルム」>「myrealm」>「プロバイダ」>外部オーセンティケータに移動します。

3. 「ロックと編集」をクリックしてこのページを編集します。

4. 「プロバイダ固有」タブをクリックします。

5. 名前指定によるユーザー・フィルタを探します。

6. 名前指定によるユーザーの値を(&(cn=%u)(objectclass=person))から(&(sAMAccountName=%u)(objectclass=person))に変更します。

7. 「ユーザー名属性」を探します。

8. 「ユーザー名属性」の値をcnからsAMAccountNameに変更します。

9. 「保存」をクリックし、「変更のアクティブ化」をクリックします。

10. -allオプションを使用して、Oracle Management Serverを再起動します。

<OMS_HOME>/bin>./emctl stop oms -all -force

<OMS_HOME>/bin>./emctl start oms

11. WebLogicコンソール>「セキュリティ・レルム」>「myrealms」>「ユーザーとグループ」>「ユーザー・リスト」にログインして、ユーザー'tuser'がユーザー・リストに存在することを確認します。これで、ユーザー名'tuser'を使用してOracle Enterprise Managerにログインできるようになりました。

2.1.7.2.1 ユーザー名の変更によるOracle Virtual Directoryの更新

Oracle Enterprise Managerリリース12.1.0.4以上では、Oracle Virtual Directoryレイヤでユーザー名の変更を更新するために、次の追加の手順を実行する必要があります。

1. <MW_HOME>/oracle_common/common/bin/wlst.sh and <GCDomain>/config/fmwconfig/ovd/default/adapter.os_xmlファイルをバックアップします。

2. <MW_HOME>/oracle_common/common/bin/wlst.shファイルをテキスト・エディタで開き、次のパラメータをWLST_PROPERTIESに追加します。

-Dweblogic.ssl.JSSEEnabled=true -Djavax.net.ssl.keyStore=<MW HOME>/wlserver_10.3/server/lib/DemoIdentity.jks
-Djavax.net.ssl.keyStorePassword=DemoIdentityKeyStorePassPhrase
-Djavax.net.ssl.trustStore=<MW HOME>/wlserver_10.3/server/lib/DemoTrust.jks
-Djavax.net.ssl.trustStorePassword=DemoTrustKeyStorePassPhrase
-Dweblogic.security.SSL.trustedCAKeyStore=<MW HOME>/wlserver_10.3/server/lib/DemoTrust.jks
-Dweblogic.security.SSL.ignoreHostnameVerification=true

例:

WLST_PROPERTIES="-Dweblogic.ssl.JSSEEnabled=true
-Djavax.net.ssl.keyStore=/u01/mwr/wlserver_10.3/server/lib/DemoIdentity.jks
-Djavax.net.ssl.keyStorePassword=DemoIdentityKeyStorePassPhrase
-Djavax.net.ssl.trustStore=/u01/mwr/wlserver_10.3/server/lib/DemoTrust.jks
-Djavax.net.ssl.trustStorePassword=DemoTrustKeyStorePassPhrase
-Dweblogic.security.SSL.trustedCAKeyStore=/u01/mwr/wlserver_10.3/server/lib/DemoTrust.jks
-Dweblogic.security.SSL.ignoreHostnameVerification=true ${WLST_PROPERTIES}
-DORACLE_HOME='${ORACLE_HOME}' -DCOMMON_COMPONENTS_HOME='${COMMON_COMPONENTS_HOME}'"
export WLST_PROPERTIES

注意:
サード・パーティ証明書またはカスタム証明書をWebLogic Serverにインポートした場合は、前述の例で、パスをそれぞれのキーストアに置き換える必要があります。カスタム・パスはconfig.xmlファイルにあります。

3. <MW_HOME>/oracle_common/common/bin/wlst.shを起動します。

4. 次のコマンドを入力して管理サーバーに接続します。

connect('weblogic','<weblogic password>','t3s://<ADMIN SERVER HOSTNAME>:<ADMIN SERVER PORT>')

例:

connect('weblogic','<weblogic password>','t3s://hostname.domain.com:7102')

5. 次のコマンドを入力します。

$addPlugin(adapterName='ADAPTER_NAME',pluginName='changerdn',pluginClass='oracle.ods.virtualization.engine.chain.plugins.changeuserrdn.ChangeUserRDN',paramKeys='replaceValue|fromRDN|toRDN',paramValues='true|cn|sAMAccountName')

注意:
前述のコマンドのadapterNameパラメータに、管理サーバー・コンソール上のLDAPプロバイダの名前を指定する必要があります。

6. 次のコマンドを入力してOMSを停止します。

<OMS HOME>/bin>./emctl stop oms -all -force

7. OMSパスからプロセスが実行されていないことを確認します。

8. 次のコマンドを入力して、管理サーバーとOMSを起動します。

<OMS HOME>/bin>./emctl start oms -admin_only<OMS HOME>/bin>./emctl start oms

2.1.8 LDAPユーザー属性のEnterprise Managerユーザー属性へのマッピング

外部認証が有効な場合、「ユーザーの作成」フローの名前フィールドの横に懐中電灯のアイコンが表示されます。

注意:
Enterprise Managerで、管理者が初めて作成されると、外部認証が有効になります。

この懐中電灯をクリックするとポップアップ・ウィンドウが表示され、Enterprise Managerの管理者は構成済の外部LDAPサーバー(たとえばADまたはOID)のエンタープライズ・ユーザーを検索できます。また、そのユーザーのLDAP属性も表示されます。これにより、Enterprise Managerの管理者はEnterprise Managerで外部ユーザーの属性を作成する前にその属性を確認できます。次のスクリーン・ショットは、外部LDAPユーザー「johndoe」および彼のすべてのLDAPアカウント属性が表示されたポップアップの例です。

図2-1 ユーザー・アカウントの属性

外部認証を構成したら、多くの場合LDAPのユーザーに対して定義された電子メールアドレス、部署などのユーザー情報が対応するEnterprise Managerのユーザー・アカウントに自動的に伝搬されることが期待されます。これは、OMSプロパティのoracle.sysman.core.security.auth.ldapuserattributes_emuserattributes_mappingsを設定することでできるようになります。このプロパティには、ユーザー・プロパティの移入に使用される、Enterprise Managerのユーザー・プロパティと対応するLDAPユーザー属性との間のマッピングが含まれます。Enterprise ManagerプロパティとLDAP属性との間のマッピングは、<キー>={%属性%}の形式で表現されます。各項目の意味は次のとおりです。

- キー: Enterprise Managerのユーザー・プロパティです。ユーザー・プロパティの値は、次のとおりです。
USERNAME

EMAIL

CONTACT

LOCATION

DEPARTMENT

COSTCENTER

LINEOFBUSINESS

DESCRIPTION

これ以外の値がキーに指定された場合は無視されます。

- 属性: LDAPからフェッチされ、Enterprise Managerでユーザーのプロパティの設定に使用される必要のあるユーザー属性。属性は、{%属性%}の形式(たとえば、{%mail%})で指定する必要があります。
%間の値はLDAPサーバーの有効な属性である必要があります。属性値を指定する場合、次の例のようにリテラル文字列を指定することもできます。

DESCRIPTION={%firstname% %lastname% employee}

この例では、LDAPから名前と姓のみがフェッチされますが、ユーザーの説明は「名姓従業員」となります。たとえば、「John Doe従業員」となります。

別の例では、CONTACT={電話番号%phone%}のようにもできます。リテラル文字列値にカンマを指定する必要がある場合、次の例のように「\」を使用してエスケープする必要があります。

DESCRIPTION={%lastname% \, %firstname% \, %phone%}

この結果は、「Doe, John, 212-454-0000」と説明されるユーザーとなります。リテラル文字列で指定される場合で、バックスラッシュ(\)を使用してエスケープする必要がある他の文字は、「:」、「=」で、これらは\:または\=のように入力します。

したがって、OMSプロパティoracle.sysman.core.security.auth.ldapuserattributes_emuserattributes_mappingsは、カンマで区切られたキーと属性のペアのセットで設定する必要があります。

例として、ユーザーJOHNDOEはLDAPに存在し、次の属性を持つものとします。

uid=johndoe,mail=johndoe@company.com,description=EM LDAP Admin,postalcode=90210,department=EnterpriseAdmin,telephone=2124540000,displayname=JohnDoe

OMSプロパティを、

oracle.sysman.core.security.auth.ldapuserattributes_emuserattributes_mappings to "USERNAME={%uid%},EMAIL={%mail%},CONTACT={%telephone%},DEPARTMENT={%department%},DESCRIPTION={%description%},LOCATION={%postalcode%}"

のように設定した場合、ポップアップ・ウィンドウでユーザーを選択して「OK」を押すと、ユーザーの属性が「ユーザーの作成」ページの該当するフィールドに自動的に移入されます。

2.1.9 Enterprise Managerでのユーザー表示名の変更

LDAP環境の一部では、ユーザーが数字のログインIDを持つことになる場合があります。Enterprise Managerには、ユーザーが数字のIDを使用してログインしたときに、わかりやすいユーザー名を表示する機能があります。ユーザーがEnterprise Managerコンソールにログオンすると、この数字のIDは、監査レコードなどユーザー名が表示されるところにはどこにでも表示され、使用されます。名前をもっとわかりやすく表示するために、OMSプロパティのoracle.sysman.core.security.auth.enable_username_mappingを使用して、Enterprise Managerに表示される名前よりも直感的な外部の名前をマッピングできます。このプロパティは、emctlを使用して変更できます。

emctl set property –name ”oracle.sysman.core.security.auth.enable_username_mapping” –value ”true”

これは、Enterprise Managerコンソールを使用して設定することもできます。動的プロパティがあり、管理サービスをバウンスする必要がありません。

有効にすると、Enterprise Managerにログオンするユーザーに使用される名前またはIDを含む「外部ユーザーID」フィールドが追加されます(この名前またはIDは有効なユーザーとしてLDAPに存在します)。管理者の作成ページが表示されます。

たとえば、外部ユーザー123456がログインし、johndoeをログインユーザーとして表示する場合には、「名前」フィールドに「johndoe」と指定します。管理者の作成ページが次のように表示されます。

ユーザー123456は、そのユーザーがLDAPサーバーに123456として存在するため、そのIDとしてログインしますが、名前「johndoe」がユーザー名としてEnterprise Managerコンソールに表示されます。

OMSプロパティoracle.sysman.core.security.auth.ldapuserattributes_emuserattributes_mappingsをこの環境で使用して、ユーザーの名前および外部IDを自動的に移入することもできます。EXTERNALUSERIDという追加フィールドに設定する必要があります。前述の例を使用して、次のようにOMSプロパティを設定します。

"USERNAME={%displayname%},EXTERNALUSERID={%uid%},EMAIL={%mail%},CONTACT="{%telephone%},DEPARTMENT={%department%},DESCRIPTION={%description%},LOCATION={%postalcode%}"

前述の機能は、EM CLIでも使用できます。OMSプロパティが設定された状態でEM CLI create_user動詞を使用して、LDAP属性が自動的に移入されるユーザーを作成できます。

2.1.10 他のLDAP/SSOプロバイダの構成

現在、Oracle Enterprise Managerは、Oracle Internet Directory、Oracle Access Manager、Active Directoryおよびシングル・サインオンのネイティブ・サポートを提供しています。ネイティブ・サポートでは、EMCTLコマンドを使用してWebLogic ServerおよびEnterprise Managerを外部認証用に構成できます。Oracle Internet DirectoryでのEnterpriseの構成の詳細は「Oracle Internet Directory (OID)」を、Active Directoryでの構成の詳細は「Microsoft Active Directoryベースの認証」を参照してください。Oracle 『Fusion Middleware Oracle WebLogic Serverの保護11gリリース1』ドキュメントの「認証プロバイダの構成」の章を参照してください。

LDAPプロバイダはSUFFICIENTとマークされ、プロバイダのリストにおいてEnterprise Managerリポジトリ・オーセンティケータよりも前にある必要があります。

SSOプロバイダについては、特定のSSOプロバイダ構成の要件を参照してください。Enterprise Managerを機能させるには、適切な認証プロバイダを構成することに加えて、特定のOMSプロパティを設定する必要もあります。

他のLDAPサーバーのタイプを使用してEnterprise Managerを構成するには、次のOMSプロパティを設定する必要があります。これらのプロパティは、emctlまたはコンソールを使用して設定できます。プロパティは、各OMSに対して設定する必要があります。

emctl set property -name "oracle.sysman.core.security.auth.is_external_authentication_enabled" -value "true"

- oracle.sysman.core.security.auth.is_external_authentication_enabled=true

- oracle.sysman.emSDK.sec.DirectoryAuthenticationTypeはLDAP。

他のSSOソリューションのタイプを使用してEnterprise Managerを構成するには、weblogic認証またはアイデンティティ・アサーション・プロバイダの構成に加え、次のOMSプロパティを設定する必要があります。

- oracle.sysman.core.security.auth.is_external_authentication_enabled=true

- oracle.sysman.core.security.sso.type=OTHERSSO

- oracle.sysman.core.security.sso.logout_url=<SSOサーバーでのログアウト構成用に提供された任意の値>

- oracle.sysman.emSDK.sec.DirectoryAuthenticationType=SSO

2.1.10.1 シングル・サインオン・ベースの認証の構成

この項の内容は、次のとおりです。

- Oracle Access Manager 10gを使用したシングル・サインオンの構成

- Oracle AS SSO 10gを使用したシングル・サインオンの構成

2.1.10.1.1 Oracle Access Manager 10gを使用したシングル・サインオンの構成

Oracle Access Managerシングル・サインオン認証スキームを使用する場合、ベースとなるアイデンティティ・ストアは、Oracle Access Managerでサポートされているエンタープライズ・ディレクトリ・アイデンティティ・ストアで構成されます。この項では、OAM SSOベースの認証スキームを構成する手順を示します。

前提条件

Oracle Access Managerがインストールされています。

Oracle Access Managerシングル・サインオン・サーバーは、Oracle HTTP Server、Web GateおよびOracle Access Managerアイデンティティ・ストアを使用するよう構成されています。

1. emctl config authコマンドを実行します。

emctl config auth oam [-sysman_pwd <pwd>] -oid_host <host> -oid_port <port>
-oid_principal <principal> [-oid_credential <credential>]
-user_base_dn <dn> -group_base_dn <dn>
-oam_host <host< -oam_port <port> [-logout_url <url>] [-is_oam10g] [-user_dn <dn>] [-group_dn <dn>]

注意: OAMのバージョンが10gの場合にのみ、-is_oam10gオプションを使用します。

2. 各OMSを停止します。
emctl stop oms -all

3. 各OMSを再起動します。
emctl start oms

2.1.10.1.2 Oracle AS SSO 10gを使用したシングル・サインオンの構成

現在Oracle Application Server Single Sign-Onを使用してエンタープライズのアクセスと認可を制御している場合、これらの機能をEnterprise Managerコンソールに拡張できます。

デフォルトでは、Enterprise Managerにはメインのログオン・ページが表示されます。ただし、Oracle Application Server Single Sign-Onを使用してEnterprise Managerのユーザーを認証するようにEnterprise Managerを構成できます。ユーザーには、Enterprise Managerのログオン・ページではなく、Oracle Application Server Single Sign-Onの標準のログオン・ページが表示されます。管理者は、このログオン・ページで各自のOracle Application Server Single Sign-On資格証明を使用してOracle Enterprise Manager 13c Cloud Controlコンソールにアクセスできます。

注意:

- Enterprise Managerは、Oracle Application Server Single Sign-Onまたはエンタープライズ・ユーザー・セキュリティ機能のいずれかを使用する(両方は使用できない)ように構成できます。

- サーバー・ロード・バランサ(SLB)でシングル・サインオンを使用するようにEnterprise Managerを構成する場合、正しい監視設定が定義されていることを確認します。

パートナー・アプリケーションは、OracleAS Single Sign-Onサーバーに認証を委任するように設計されたアプリケーションです。次の項では、Enterprise ManagerをOracleAS Single Sign-Onパートナ・アプリケーションとして構成する方法について説明します。

- Enterprise Managerのパートナ・アプリケーションとしての登録

- シングル・サインオン構成の削除

- シングル・サインオン・ユーザーのEnterprise Manager管理者としての登録

- EM CLIを使用したシングル・サインオン・ユーザーの登録

- シングル・サインオン・ログオン・ページの省略

- デフォルトの認証方法の復元

2.1.10.1.3 Enterprise Managerのパートナ・アプリケーションとしての登録

Enterprise Managerをパートナ・アプリケーションとして手動で登録するには、次の手順を実行します。

1. 各OMSでemctl stop omsを実行し、すべてのOMSを停止します。

2. 次のURLを入力してSSO管理ページにナビゲートします。

https://sso_host:sso_port/pls/orasso

3. orcladminユーザーとしてログインし、「SSOサーバー管理」をクリックします。

4. 「パートナ・アプリケーション管理」をクリックして「パートナ・アプリケーションの追加」をクリックします。

5. 「パートナ・アプリケーションの追加」ページで次の情報を入力します。

Name: <EMPartnerName>
Home URL: protocol://em_host:em_port
Success URL: protocol://em_host:em_port/osso_login_success
Logout URL: protocol://em_host:em_port/osso_logout_success
Administrator Email: user@host.com

注意1: host、portおよびprotocolは、使用されるEnterprise Managerのホスト、ポートおよびプロトコル(httpまたはhttps)のことです。

注意2: em_host、em_port、emailおよびEnterprise Managerパートナ名は適切な値に置き換える必要があります。この例のとおりに入力しないでください。

6. パートナ・アプリケーション管理ページに戻り、<EMPartnerName>の「編集」アイコンをクリックします。
「ID」、「トークン」、「暗号化鍵」、「ログインURL」、「シングル・サインオフURL」、「ホームURL」の値を記録し、ファイルosso.txtに次の内容を含めます。

sso_server_version= v1.2
cipher_key=<value of EncryptionKey>
site_id=<value of ID>
site_token=<value of Token>
login_url=<value of Login URL>
logout_url=<value of Single Sign-Off URL>
cancel_url=<value of Home URL>
sso_timeout_cookie_name=SSO_ID_TIMEOUT
sso_timeout_cookie_key=9E231B3C1A3A808A

7. ORACLE_HOME環境変数をWebTier Oracleホームの場所に設定します。
setenv ORACLE_HOME /scratch/13c/MWHome/Oracle_WT

次のように実行します。

$ORACLE_HOME/ohs/bin/iasobf <location of osso.txt> <location of osso.conf>

8. OMSごとに次のコマンドを実行します。

emctl config auth sso -ossoconf <osso.conf file loc> -dasurl <DAS URL> [-unsecure] [-sysman_pwd <pwd>] [-domain <domain>]-ldap_host <ldap host> -ldap_port <ldap port> -ldap_principal <ldap principal> [-ldap_credential <ldap credential>] -user_base_dn <user base DN> -group_base_dn <group base DN> [-logout_url <sso logout url>]

ldap_host、ldap_port、ldap_principalおよびldap_credentialは、SSOのLDAPの詳細です。

このコマンドの出力例を次に示します。

Oracle Enterprise Manager Cloud Control 13c Release 12.1.0.3.0
Copyright (c) 1996, 2013 Oracle Corporation.  All rights reserved.
SSO Configuration done successfully. Please restart Admin & Managed Servers.

9. OMSごとに次のコマンドを実行します。

emctl stop oms -all
emctl start oms

2.1.10.1.4 シングル・サインオン構成の削除

シングル・サインオン構成を削除するには、次のようにします。

1. OMSごとに次のコマンドを実行します。

emctl config auth repos [-sysman_pwd <pwd>]

コマンドの出力例:

Oracle Enterprise Manager Cloud Control 13c Release 12.1.0.3.0
Copyright (c) 1996, 2013 Oracle Corporation.  All rights reserved.
Configuring Repos Authentication ... Started
Configuring Repos Authentication ... Successful

httpd.conf (WebGateのインストール時)などのファイルを更新した場合、またはその他の必要なファイルは、この手順中のロールバックのために、事前にバックアップする必要があります。複数OMS環境を使用している場合、残りのサーバーで、emctl config auth reposを実行する必要があります。

2. 各OMSで次のコマンドを発行し、すべてのOMSを再起動します。

emctl stop oms -all
emctl start oms

2.1.10.1.5 シングル・サインオン・ユーザーのEnterprise Manager管理者としての登録

シングル・サインオン・ログオン・ページを使用するようにEnterprise Managerを構成すると、シングル・サインオン・ユーザーをEnterprise Manager管理者として登録できます。シングル・サインオン・ユーザーを登録するには、次のインタフェースを使用します。

- Enterprise Managerグラフィカル・ユーザー・インタフェース

- Enterprise Managerコマンドライン・インタフェース

2.1.10.1.6 グラフィカル・ユーザー・インタフェースを使用したシングル・サインオン・ユーザーの登録

グラフィカル・ユーザー・インタフェースを使用してシングル・サインオン・ユーザーを登録するには、次の手順を実行します。

1. Enterprise ManagerコンソールのURLに移動します。
ブラウザはシングル・サインオンの標準ログオン・ページにリダイレクトされます。

2. 有効なシングル・サインオン・ユーザーの資格証明を入力します。注意: このステップでは、SSOユーザーがEnterprise Managerに登録済である必要があります。
SSOユーザーがEnterprise Managerユーザーとしてまだ登録されていない場合、次の手順を使用して作成できます。

1. OMSに直接接続し、Enterprise Managerに移動します。たとえば、https://oms_host:oms_https_port/emです。

2. リポジトリ・ユーザーとしてログインします。

3. 「設定」メニューから、「セキュリティ」、「管理者」の順に選択します。

4. SSOユーザーを作成します。

3. スーパー管理者としてEnterprise Managerにログインします。

4. 「設定」メニューから、「セキュリティ」、「管理者」の順に選択し、管理者ページを表示します。
Enterprise Managerはシングル・サインオンを使用するように構成されているため、管理者の作成ウィザードの最初のページには、管理者を外部ユーザーとリポジトリ・ユーザーのいずれで作成するかのオプションが表示されます。

5. 「外部ユーザーのアイデンティティ・ストア」を選択し、ウィザードの次のページに進みます。

6. 外部ユーザー・アイデンティティ・ストア・ユーザーの名前と電子メール・アドレスを入力するか、懐中電灯アイコンをクリックしてOracle Internet Directoryでユーザー名を検索します。

7. ウィザードの残りのページを使用してEnterprise Manager管理者のロール、システム権限、その他の特徴を定義してから「終了」をクリックします。
Enterprise Managerには、管理者アカウントの特徴をリストする概要ページが表示されます。

8. 「終了」をクリックして、新しいEnterprise Manager管理者を作成します。
これで、外部ユーザー・アイデンティティ・ストア・ユーザーがEnterprise Manager管理者のリストに含まれます。Cloud Controlコンソールからログアウトし、シングル・サインオン・ログオン・ページで外部ユーザー・アイデンティティ・ストア・ユーザーの資格証明を使用してログインしなおすことで、アカウントを検証できます。

2.1.10.1.7 EM CLIを使用したシングル・サインオン・ユーザーの登録

次のEM CLIコマンドを使用してシングル・サインオン・ユーザーを作成できます。

emcli create_user -name=ssouser -type=EXTERNAL_USER

このコマンドは、ssouserという名前でユーザーを作成します。このユーザーは、シングル・サインオン・ユーザーと照らし合せて認証されます。

引数

説明

-name

管理者の名前。

-type

ユーザーのタイプ。このパラメータのデフォルト値はEM_USERです。その他に次の値が可能です。

- EXTERNAL_USER: シングル・サインオン・ベースの認証に使用されます。

- DB_EXTERNAL_USER: エンタープライズ・ユーザー・ベースのセキュリティ認証に使用されます。

-password

新規に作成した管理者のパスワード。

-roles

該当の管理者に付与できるロールのリスト。

-email

該当の管理者の電子メール・アドレスのリスト。

-privilege

管理者に付与できるシステム権限。このオプションは、複数回指定できます。

-profile

データベース・プロファイルの名前。これはオプションのパラメータです。使用されるデフォルトのプロファイルはDEFAULTです。

-desc

追加するユーザーの説明です。

-expired

このパラメータは、パスワードを「期限切れ」ステータスに設定する場合に使用されます。これはオプションのパラメータであり、デフォルトではFalseに設定されます。

-prevent_change_password

このパラメータをTrueに設定すると、ユーザーはパスワードを変更できません。これはオプションのパラメータであり、デフォルトではFalseに設定されます。

-input_file

このパラメータにより、管理者は、入力ファイルにこれらの引数の値を提供できます。値の形式はname_of_argument:file_path_with_file_nameになります。

例1

emcli create_user
-name="new_admin"
-email="first.last@mycompany.com;joe.shmoe@shmoeshop.com"
-roles="public"
-privilege="view_job;923470234ABCDFE23018494753091111"
-privilege="view_target;<host>.com:host"

この例では、new_adminというEnterprise Manager管理者を作成します。この管理者には、ID 923470234ABCDFE23018494753091111のジョブを表示する機能と、ターゲット<host>.com:hostを表示する機能の2つの権限があります。管理者new_adminにはPUBLICロールが付与されます。

例2

emcli create_user
-name="User1"
-type="EXTERNAL_USER"
-input_file="privilege:/home/user1/priv_file"

Contents of priv_file are:
view_target;<host>.com:host

この例では、Enterprise Managerユーザーとして外部で作成されたuser1を作成します。user1には、<host>.com:hostに対する表示権限があります。

例3

emcli create_user
-name="User1"
-desc="This is temp hire."
-prevent_change_password="true"
-profile="MGMT_ADMIN_USER_PROFILE"

この例では、user1をEnterprise Managerユーザーとして、説明付きで設定します。prevent_change_passwordは、user1によってパスワードを変更できないようにtrueに設定され、profileはMGMT_ADMIN_USER_PROFILEに設定されます。

例4

emcli create_user
-name="User1"
-desc="This is temp hire."
-expire="true"

この例では、user1をEnterprise Managerとして、説明付きで設定します。パスワードの有効期限はすぐに切れるように設定されるため、ユーザーが初めてログインすると、パスワードの変更が求められます。

2.1.10.1.8 シングル・サインオン・ログオン・ページの省略

OMSがSSO、OAMまたはその他の認証方法を使用するよう構成されている場合、シングル・サインオンまたはOAM認証を省略する必要がある場合があります。SSOログオン・ページを省略するには、次のURLに接続します。

1. https://ms_host:ms_https_port/emに接続します。
ms_hostとms_https_portは、WLS管理対象サーバーのホスト名とポート番号です。これらのパラメータは、EM_INSTANCE_HOME/emgc.propertiesファイルに含まれています。このファイルでは、EM_INSTANCE_HOSTとMS_HTTPS_PORTとリストされています。

2. リポジトリ・ユーザーの資格証明を使用してログインします。

2.1.10.1.9 デフォルトの認証方法の復元

1. OMSごとに次のコマンドを実行します。

emctl config auth repos [-sysman_pwd <pwd>]

コマンドの出力例:

Oracle Enterprise Manager Cloud Control 13c Release 12.1.0.3.0
Copyright (c) 1996, 2013 Oracle Corporation.  All rights reserved.
Configuring Repos Authentication ... Started
Configuring Repos Authentication ... Successful
If you have updated files like httpd.conf (for example, while installing WebGate), rollback them.
If this is a multi-OMS environment, execute this command on remaining servers.
After that, restart OMS(s) using: 'emctl stop oms -all' and 'emctl start oms'

2. OMSごとに次のコマンドを実行します。

emctl stop oms -all
emctl start oms

2.1.11 エンタープライズ・ユーザー・セキュリティベースの認証の構成

エンタープライズ・ユーザー・セキュリティで使用するためにEnterprise Managerを構成する手順は、「エンタープライズ・ユーザー・セキュリティベースの認証の構成」を参照してください。

2.1.12 デフォルトの認証方法への復元

次の項では、Enterprise Managerで使用されるデフォルトの認証方法を復元する手順について説明します。

2.1.12.1 シングル・サインオン・ログオン・ページの省略

OMSがSSO、OAMまたはその他の認証方法を使用するよう構成されている場合、シングル・サインオンまたはOAM認証を省略する必要がある場合があります。SSOログオン・ページを省略するには、次のURLに接続します。

1. https://ms_host:ms_https_port/emに接続します。
ms_hostとms_https_portは、WLS管理対象サーバーのホスト名とポート番号です。これらのパラメータは、EM_INSTANCE_HOME/emgc.propertiesファイルに含まれています。このファイルでは、EM_INSTANCE_HOSTとMS_HTTPS_PORTとリストされています。

2. リポジトリ・ユーザーの資格証明を使用してログインします。

2.1.12.2 デフォルトの認証方法の復元

1. OMSごとに次のコマンドを実行します。

emctl config auth repos [-sysman_pwd <pwd>]

コマンドの出力例:

Oracle Enterprise Manager Cloud Control 13c Release 12.1.0.3.0
Copyright (c) 1996, 2013 Oracle Corporation.  All rights reserved.
Configuring Repos Authentication ... Started
Configuring Repos Authentication ... Successful
If you have updated files like httpd.conf (for example, while installing WebGate), rollback them.
If this is a multi-OMS environment, execute this command on remaining servers.
After that, restart OMS(s) using: 'emctl stop oms -all' and 'emctl start oms'

2. OMSごとに次のコマンドを実行します。

emctl stop oms -all
emctl start oms

2.2 権限とロール認可の構成

すべてのターゲットに対して同じレベルのアクセス権をすべての管理者に付与することは危険です。また、グループのすべての新規メンバーに数十、数百、場合によっては数千ものターゲットに対するアクセス権を個別に付与するのは時間のかかる作業です。Enterprise Managerの管理者権限およびロール機能を使用すると、これらのタスクを合理化でき、企業の成長とともに容易にスケール変更できるようになります。認可により、システム、ターゲットおよびオブジェクト・レベルの権限およびロールを介してEnterprise Managerによって管理されるセキュアなリソースへのアクセスを制御します。この項では、ユーザー・クラスごとに割り当てられるロールと権限などのEnterprise Managerの認可モデルについて説明します。

注意:
権限または割り当てられたターゲットのない管理者は、Enterprise Manager内から監視ターゲットを参照できません。割り当てられたロールまたは権限のない新しい管理者としてEnterprise Managerにログインすると、EXEMPT ACCESS POLICY権限がEnterprise Managerスーパー管理者SYSMANに対して取り消されないかぎり、すべてのターゲットが表示されます(セキュリティ上の問題)。
システム権限EXEMPT ACCESS POLICYを持つユーザーは、すべてのSELECTまたはDML操作(INSERT、UPDATEおよびDELETE)において、ファイングレイン・アクセス・コントロール・ポリシーの対象から除外されます。これによって、インストールや、SYS以外のスキーマを介したデータベースのインポートとエクスポートなどの管理アクティビティが使いやすくなります。

また、使用されているユーティリティまたはアプリケーションにかかわらず、ユーザーにEXEMPT ACCESS POLICY権限が付与されている場合、ユーザーはVPDおよびOracle Label Securityポリシーの実施が免除されます。つまり、ユーザーはデータ・アクセスに適用されるVPDまたはOracle Label Securityポリシーを持ちません。

この問題を解決するには:

SYSまたはSYSTEMユーザーとしてEnterprise Managerリポジトリ・データベースに接続し、次のSQL文を実行します。

SQL> revoke EXEMPT ACCESS POLICY from sysman;

2.2.1 ユーザー、権限、ロールについて

Enterprise Manager管理者がユーザーをシステムに追加する場合、主要な考慮事項は、このユーザーが仕事を行うために実行する必要がある内容です。この新規ユーザーのジョブが定義され認識された後、適切な権限がこのユーザーに割り当てられる必要があり、ジョブを完了するために必要なシステムへのアクセス権が付与される必要があります。

権限は最終的には、管理者がEnterprise Managerでターゲットを管理できるように管理者に付与されます。特定の権限を個々の管理者に付与できますが、多くの管理者にわたり多くのターゲットに対する権限を追跡および付与するとエラーが起こりやすく、それ自体が管理上の負荷となってしまいます。そのためロールを定義して使用し、管理者への権限の付与を管理することをお薦めします。

ロールは通常、複数のユーザーからなるチームに対して付与する権限のセットを含む、ユーザー定義の権限セットです。ロールには、他のロールも含めることができます。たとえば、管理者がターゲットでのインシデントを確認および管理するために必要な権限を含むFirst Line Supportロールを作成できます。このロールを作成すると、これらのインシデントを自分の職責の一部として管理することになる適切な管理者に、このロールを付与できるようになります。管理者用の権限のセットを変更する(新しい権限の追加や権限の削除など)必要がある場合には、ロールを更新するだけですみます。ロール内の更新された権限のセットは、ロールを付与された管理者に対して自動的に有効になります。同様に、新規の管理者が追加された場合、その管理者に対して個々の権限を付与するのではなく、適切なロールを付与するだけですみます。詳細は、「ユーザーのクラス」を参照してください。

ロールを使用すると、一歩大きく進んだ権限の管理が可能になります。とはいえ、新しいターゲットがEnterprise Managerに追加されるたびに、それらの権限を備えたロールを更新し続けなければならない課題があります。

2.2.1.1 ユーザーのクラス

Oracle Enterprise Managerでは、管理している環境や、Oracle Enterprise Managerを使用しているコンテキストに応じて、Oracleユーザーの様々なクラスをサポートしています。

Enterprise Managerコンソールで作成および管理されるEnterprise Manager管理者には、Enterprise Managerコンソールにログインして特定のターゲット・タイプを管理したり、特定の管理タスクを行うための権限とロールが付与されます。Enterprise Managerコンソールのデフォルト・スーパー管理者はSYSMANユーザーで、これは、Oracle Management Repositoryに関連付けられているデータベース・ユーザーです。SYSMANアカウントのパスワードは、Enterprise Managerのイントール手順の間に定義します。

Oracle Enterprise Manager 13cコンポーネント間の通信を保護するために、権限を持つユーザーのアクセスを制限したり、ツールを提供したりすることで、Enterprise ManagerはOracle Management Repositoryの重要情報を保護します。

管理リポジトリには、エンタープライズ全体のパフォーマンスや可用性の監視に役立つようにEnterprise Managerで使用される管理データが含まれています。このデータによって、デプロイしたハードウェアとソフトウェアのタイプに関する情報や、管理するアプリケーション、データベース、アプリケーション・サーバー、その他のターゲットの履歴パフォーマンスや固有の特徴が提供されます。また、管理リポジトリには、管理データへのアクセス権限を持つEnterprise Manager管理者に関する情報もあります。

Enterprise Manager管理者アカウントを作成および管理できます。管理者アカウントには、それぞれ独自のログイン資格証明や、アカウントに割り当てられた一連のロールおよび権限が含まれています。次の3つのユーザーのクラスがあります。

- スーパー管理者: スーパー管理者はスーパー管理者権限を持つユーザーです。この権限を持つユーザーは、ユーザーまたはロールを作成、編集および削除できる強力なユーザーです。スーパー管理者はシステムのすべてのリソースを管理できますが、次の制限があります。
- 他のユーザーが作成した名前付き資格証明へのアクセス権がない。 - 他のユーザーが作成したジョブ、デプロイメント・プロシージャを管理できない。

Enterprise Managerがインストールされると、スーパー管理者であるSYSMANがデフォルトで作成されます。スーパー管理者は、他の管理者アカウントを作成できます。

- 管理者: 一般的なEnterprise Manager管理者です。

- リポジトリ所有者: 管理リポジトリ用のデータベース管理者です。このアカウントは、変更、複製または削除できません。

管理者が実行できる管理タスクおよびアクセスできるターゲットは、その管理者に付与されているロール、システム権限、リソース権限およびターゲット権限に依存します。スーパー管理者は他の管理者に対して、特定の管理タスクのみの実行、特定のターゲットのみへのアクセス、または特定のターゲットに対する特定の管理タスクの実行を許可するよう選択できます。このようにスーパー管理者は、管理者がジョブを行うために必要な最小レベルの権限を割り当てることができます。

2.2.1.2 オブジェクトの再割当て

管理者の削除の準備として、あるEnterprise Manager管理者から別のEnterprise Manager管理者にオブジェクトを再割当てするには:

1. 「設定」→「セキュリティ」→「管理者」ページに移動します。

2. 削除する管理者を選択して「表示」をクリックすると、選択した管理者が現在所有するすべてのオブジェクトが表示されます。

3. オブジェクトを別の管理者に再割当てするには、「新規所有者」テキスト・ボックスに新規管理者の名前を入力するか、懐中電灯アイコンをクリックして使用可能な管理者のリストを表示します。

4. オブジェクトを再割当てする目的の管理者を選択して、操作を完了します。

注意::
スーパー管理者は管理者の削除ページを使用して、管理者をEnterprise Managerから削除する際に管理者が所有していたオブジェクトをどのように扱うかを指定できます。このページでは、スーパー管理者は次を実行できます。

- Enterprise Manager管理者とともにすべての管理者所有オブジェクトを削除

- 別のEnterprise Manager管理者へのオブジェクトの再割当て

注意::
スーパー管理者のみが他のEnterprise Manager管理者を削除できます。Enterprise Managerでは、管理者は次の処理を行うことができません。

- 自身の削除

- 管理リポジトリ所有者の削除

管理者オブジェクトの再割当ては、次のように処理されます。

- 「ブラックアウト」は、ブラックアウトの影響を受けるすべてのターゲットに対して「オペレータ」権限を持つ任意のユーザーに再割当てできます。

- 「ジョブ」は任意の管理者に再割当てできます。ただし、ジョブに関連付けられているすべての資格証明は削除され、ジョブは「一時停止中」状態のままになります。このため、新規ジョブ所有者は新規資格証明を明示的に設定する必要があります。現在実行中のジョブは実行を継続できます。新規ジョブ所有者が資格証明を設定すると、ジョブは「SCHEDULED」状態に戻ります。

- 「修正処理」は、修正処理の操作対象となるターゲットに対して「オペレータ」権限を持つ任意の管理者に再割当てできます。

- 「レポート定義」は、任意の管理者に再割当てできます。

- 「レポート」は、任意の管理者に再割当てできます。

- BIPレポートは再割当てできません。情報パブリッシャ・レポートのみ再割当てできます。

- 「監視テンプレート」は、任意の管理者に再割当てできます。

2.2.1.3 集計ターゲット権限

集計ターゲット権限は、1つ以上のメンバー・ターゲットを持つターゲットです(たとえば、グループ、システム、Real Application Clusterなど)。集計ターゲット権限を使用すると、管理者は異なるレベルの権限をメンバー・ターゲットおよび集計ターゲットに付与できます。たとえば、管理者は、集計グーループ・レベルに対してはVIEW権限を付与し、グループ内の各メンバー・ターゲットに対してはFULL権限を付与する場合があります。管理者が集計とそのメンバーに対して特定の権限を付与しない場合、デフォルトは集計とそのメンバーに対する権限と同じになります。

たとえば、VIEW権限をグループ(集計レベル)で付与し、メンバー・ターゲット・レベルでFULLを付与できます。これにより、ターゲットの削除などの全ライフサイクル・タスクを実行するように、DBAはメンバー・ターゲットに対してFULLを付与できます。DBAは、グループを削除しないように、グループに対してはVIEW権限を持っています。

Enterprise Manager管理者を作成または編集する場合、これらの権限設定を表示または変更できます。「設定」メニューから、「セキュリティ」、「管理者」の順に選択します。ターゲット権限ページに移動します。

「ターゲット権限」ページの下部で、「ターゲット権限」リージョンを確認します。

「詳細な権限設定」オプションをチェックして、ユーザーに追加された集計ターゲット・タイプの設定を表示します。

追加の列が2つ表示されます。

- 集計専用の権限付与の管理

- メンバー専用の権限付与の管理

編集(鉛筆)アイコンをクリックして、権限付与プロパティを変更します。

2.2.2 権限とロール

ユーザー固有の権限の付与は、Enterprise Managerの基本レベルのセキュリティを提供します。ユーザー権限は、データへのアクセスを制御し、監視設定の変更やターゲットのパッチ適用などのEnterprise Managerで実行できる管理操作を制限するように設計されています。

Enterprise Managerのインストール時、SYSMANユーザー(スーパー管理者)がデフォルトで作成されます。SYSMANスーパー管理者は、日常的な管理作業用に別の管理者アカウントを作成します。SYSMANアカウントは、頻度の低いシステム全体のグローバル構成タスクにのみ使用する必要があります。

スーパー管理者は、管理者がEnterprise Manager内でタスクを実行するために必要な最小レベルの権限を割り当てることができます。たとえば、スーパー管理者は、一部の管理者にはエンタープライズ内の全ターゲットの表示および追加を許可し、他の管理者には担当するターゲットのメンテナンスやクローニングなど、特定の操作の実行のみを許可できます。

2.2.2.1 管理者権限およびデータベース権限

データベースに対するDBA権限を持つと、ユーザーは、別のデータベース・ユーザーの削除、表の削除およびその他の管理操作の実行が許可されます。したがって、リポジトリ・データベースに対するDBA権限を持つと、管理者は、Enterprise Managerスーパー管理者として実行できるすべての操作を行うことができるようになります。管理者は暗黙的にスーパー管理者として扱われます。これは、DBA権限を持つOSユーザーがOracleサーバーに接続でき、SYSDBA権限を行使できるデータベースによってサポートされているOS認証と似ています。

このレベルのアクセス権では意図した動作を得られない場合は、次のいずれかを使用することをお薦めします。

- Enterprise Managerリポジトリ・データベースは特別なデータベースとして考慮する必要があります。Enterprise Managerのスーパー管理者権限を持つユーザー以外に、データベースでは、いかなるユーザーに対してもDBA権限を付与しないでください。

- 外部認証を設定し、Enterprise ManagerユーザーをActive DirectoryまたはLDAPに統合してください。これにより、作成されるEnterprise Managerアプリケーション・ユーザーのシャドウ・データベース・ユーザーが確実にいなくなるので、DBA権限はEnterprise Managerユーザーに付与できなくなります。

ベスト・プラクティス:
Enterprise Manager管理者にはDBA権限を付与しないでください。
Enterprise Managerスーパー管理者がDBA権限を持っている状況では、DBA権限が削除されるまで、SYSMANはそのユーザーを通常の管理者(スーパー管理者でない)に変換できません。

2.2.2.2 権限の付与

権限は、Enterprise Manager内で管理アクションを実行する権利です。権限は、2つのカテゴリに分けることができます。

- ターゲット権限

- リソース権限

ターゲット権限: 管理者は、この権限を使用してターゲットに対する操作を実行できます。そのため、ターゲット権限を次のレベルに分類する定義済の権限階層があります。

- 完全: オペレータおよび表示を含む最高レベル

- オペレータ: 特定の管理アクションを許可する中間レベル。オペレータ権限は、他の権限を含むことができる権限の例でもあります。たとえば、オペレータ権限にはブラックアウト権限が含まれ、オペレータターゲット権限を付与されたユーザーには自動的にブラックアウト・ターゲット権限が付与されます。詳細は、表B-2「特定のターゲットに適用可能なターゲット権限」を参照してください。

- 表示: ターゲットに対する表示アクセスのみを許可する最低レベル

2種類のターゲット権限があります。

- すべてのターゲットに適用可能な権限。これらの権限では、管理者はEnterprise Managerインフラストラクチャを使用して、すべてのコンポーネントに対する操作を実行できます。

- 特定のターゲット・インスタンスに適用できる権限。これらの権限では、管理者はEnterprise Managerインフラストラクチャ内の特定のターゲットに対する操作を実行できます。

「ターゲット権限」ページには、すべてのターゲットに付与されている権限のリストが表示されます。ターゲット権限の詳細なリストは、付録B「権限」を参照してください。

リソース権限: 管理者は、この権限を使用してEnterprise Manager内の特定の機能へアクセスできます。リソース権限の例には、「バックアップ構成」、「クラウド・ポリシー」、「コンプライアンス・フレームワーク」、Enterprise Managerプラグイン、「ジョブ・システム」、「パッチ計画」、「自己更新」および「テンプレート・コレクション」があります。完全なリストは、『Oracle Enterprise Manager Cloud Controlセキュリティ・ガイド』の権限とロールの項を参照してください。

たとえば、管理者に名前付き資格証明の新規作成の権限を付与する手順は、次のとおりです。

1. 「設定」メニューから、「セキュリティ」、「管理者」の順に選択します。「管理者」ページが表示されます。

2. 既存の管理者を編集するか新しい管理者を作成して、「管理者」ウィザードへアクセスします。

3. 「リソース権限」ページに進みます。

4. 「リソース・タイプ」列で、「名前付き資格証明」までスクロールします。

5. 「権限付与の管理」列で、該当の鉛筆アイコンをクリックします。「リソース・タイプ権限」ページが表示されます。

6. 「名前付き資格証明の新規作成」の権限を選択し、「続行」をクリックして管理者の作成および編集プロセスへ進みます。

2.2.2.3 ファイングレイン・アクセス制御

Enterprise Managerはターゲットおよび他のリソースへのアクセスを制御する詳細な権限を実装し、管理者は職務を有効に分割できます。たとえば、プロビジョニングの設計担当者と運用担当者の職責について検討してみましょう。前者(ソフトウェア・ライブラリのコンポーネントの作成)は後者(デプロイメントの発行)よりも多くの職責を担っています。セキュリティ・コンソールからは、次を表示できます。

- スーパー管理者のリスト

- 最も多くのDirect権限を持つ管理者

- ターゲット権限

- リソース権限

- 最も多くのロールを持つ上位5人の管理者

- ネストされたロールを最も多く持つロール

2.2.2.4 ロールの作成

ロールとは、管理者や他のロールに付与できるEnterprise Managerのリソース権限またはターゲット権限、あるいはその両方の集合です。これらのロールは、地理的位置(カナダのシステムを管理するためのカナダの管理者用ロールなど)、業務系列(人事管理システムや販売システムの管理者用ロールなど)または他のモデルに基づいて作成できます。管理者は、何千ものターゲットへのアクセス権をグループの各新規メンバーに個々に付与するタスクは行いたくありません。ロールを作成すると、管理者は、様々な権限を付与する必要はなく、すべての適切な権限を含むロールをチームのメンバーに割り当てるだけですみます。ターゲット・アクセスまたは管理タスクへのアクセス、あるいはその両方をフィルタして、管理者間でワークロードを分割できます。Enterprise Managerを外部認証プロバイダとともに機能するように構成して、外部ロールを使用して認可も管理することもできます。詳細は、「外部ロールを使用した外部認可」を参照してください。

あらかじめ用意されているロール: Enterprise Manager Cloud Control 13cには、様々なリソースとターゲット・タイプを管理するためのロールがあらかじめ定義されて含まれています。次の表に、ロールの一部とその機能を示します。表示されるロールの数とタイプは、インストールしたプラグインの数とタイプによって異なります。あらかじめ用意されているロールの完全なリストは、付録A「ロール」を参照してください。

パブリック・ロール: Enterprise Managerでは、デフォルトでPublicというロールが1つ作成されます。このロールは、スーパー管理者以外の新規の管理者が作成されると、全員に自動的に割り当てられるという点でユニークです。デフォルトでは、このロールに割り当てられる権限はありません。パブリック・ロールは、作成する非スーパー管理者の大部分に割り当てるつもりのデフォルト権限を定義するために使用します。権限は、最初にパブリックに割り当てる必要はありません。いつでも追加できます。ロールは、企業で使用する必要がなくなれば、削除できます。削除しても、後から実装を決めた場合は、また元どおりに追加できます。

2.2.2.5 プライベート・ロール

プライベート・ロールは、Enterprise Managerリリース12.1.0.4で導入された新しいロール・タイプであり、管理者またはロールに対する機密性の高い強力な権限の付与を制御するために使用されます。Enterprise Managerがスーパー管理者に対して使用を許可しない機密性の高い特定の権限があります。具体的には次のとおりです。

- LAUNCH_DP

- FULL_DP

- GET_CREDENTIAL

- EDIT_CREDENTIAL

- FULL_CREDENTIAL

- FULL_JOB

これらの権限は特に機密性が高く強力で、そのためEnterprise Managerではこれらの権限をロールに付与しません。これらの権限をロールに付与すると、別の管理者がそれらを使用できるようになります。

これらのタイプの権限の付与をよりセキュアな方法で行うために、ロールはシステム・ロールとプライベート・ロールの2つのカテゴリに分けられています。

- プライベート・ロールは、「create_role」権限を持つ管理者によって管理されます。「create_role」権限(プライベート・ロール)が付与される管理者は、名前付き資格証明とジョブ・ロールのライフサイクルを保持し、管理者がこれらのフル・ジョブ権限および完全な資格証明権限を別の管理者とロールに付与することを許可します。

- システム・ロールは、「manage_system_role」権限を持つすべての管理者へのアクセスが可能なすべてのロールを定義します。

プライベート・ロールは、Enterprise ManagerコンソールやEM CLIからemcli create_role動詞を使用して、別の管理者およびロールに付与でき、またemcli grant_privs動詞を使用して付与可能にすることができます。

例1:

emcli create_role
-name="my_private_role"
-type="EM_ROLE"
-desc="This is a new private role called my_private_role"
-roles="role1;role2;role3"
-privilege="full_job;923470234ABCDFE23018494753091111"
-privilege="FULL_CREDENTIAL;CRED_NAME=cred1:CRED_OWNER=user2"
-users="USER1;USER2:WITH_ADMIN"
-private_role[ Optional ]

これは、ログイン・ユーザーによって所有されるmy_private_roleを作成します。

USER1はWITHOUT_ADMINオプションとしてこのロールが付与され、USER2はWITH_ADMINオプションとしてこのロールが付与されます。

このロールは、各オブジェクトのFULL_JOBおよびFULL_CREDENTIAL権限で構成されます。

プライベート・ロールの所有者は、このロールを管理者に付与でき、別の管理者がさらに別の管理者(–WITH_ADMINオプションを使用して)またはプライベート・ロールに、このプライベート・ロールを付与する権限を持つかどうかを指定できます。実質的に、このロールの所有者は、プライベート・ロールという名前ゆえに、このロールへのアクセスを個別に管理しています。システム・ロールはプライベート・ロールに対して付与できますが、プライベート・ロールはシステム・ロールに対して付与できません。

-WITH_ADMINオプションがサポートされる動詞:

create_role -users

modify_role -users

create_user -roles

modify_user -roles

grant_roles -roles

2.2.2.6 ロールを使用した権限の管理

権限は最終的には、管理者がEnterprise Managerでターゲットを管理できるように管理者に付与されます。特定の権限を個々の管理者に付与できますが、多くの管理者にわたり多くのターゲットに対する権限を追跡および付与するとエラーが起こりやすく、それ自体が管理上の負荷となってしまいます。そのためロールを定義して使用し、管理者への権限の付与を管理することをお薦めします。ロールは通常、複数のユーザーからなるチームに対して付与する権限のセットを含む、ユーザー定義の権限セットです。ロールには、他のロールも含めることができます。たとえば、管理者がターゲットでのインシデントを確認および管理するために必要な権限を含むFirst Line Supportロールを作成できます。このロールを作成すると、これらのインシデントを自分の職責の一部として管理することになる適切な管理者に、このロールを付与できるようになります。管理者用の権限のセットを変更する(新しい権限の追加や権限の削除など)必要がある場合には、ロールを更新するだけですみます。ロール内の更新された権限のセットは、ロールを付与された管理者に対して自動的に有効になります。同様に、新規の管理者が追加された場合、その管理者に対して個々の権限を付与するのではなく、適切なロールを付与するだけですみます。

ロールを使用すると、一歩大きく進んだ権限の管理が可能になります。とはいえ、新しいターゲットがEnterprise Managerに追加されるたびに、それらの権限を備えたロールを更新し続けなければならない課題があります。以降で説明する権限伝播グループは、これらの課題に対処することを目的としています。

2.2.3 権限伝播グループを使用した権限の管理

何百または何千ものターゲットにわたる可能性のある権限を大規模な管理者のセットに付与するよう管理するには、ロールと併用して権限伝播グループを使用します。グループとはユーザー定義のターゲットの集まりで、ターゲットを1つの単位としてまとめて管理および監視するために作成できます。権限伝播グループは特殊なタイプのグループです。このグループで1人のユーザーに1つの権限を付与すると、自動的にそのグループのすべての既存および新規のメンバーに同じ権限が付与されます。

管理グループの権限伝播特性の活用

Enterprise Managerの管理グループは、本質的に権限伝播となっています。つまり、ユーザーまたはロールに付与された管理グループに対する権限は、サブグループを含むグループのすべてのメンバーに自動的に伝播します。管理グループに新しいターゲットが追加された場合、管理グループは権限伝播であるため、これによりこの管理グループに対する権限を持つユーザーまたはロールは、新しく追加されたこのグループに参加するターゲットに対する権限を自動的に得ます。新しいターゲットに対する権限を付与するための追加作業は不要です。そのため、グループに対する権限をロールに付与する1回の設定のみでよいので、権限の付与が極めて容易になります。

異なるジョブ職責に対するロールの作成

様々なジョブ職責を計画し、これらをEnterprise Managerの対応する権限にマップした後の次のステップでは、各ジョブ職責に必要な権限を含むロールをEnterprise Managerで作成します。次の例では、各ジョブ職責に対して作成する必要のある様々なロールを示しています。管理グループのターゲットに対する権限については、管理グループの権限伝播の特性を活用するために、個別のターゲットではなく管理グループに対して権限を付与することをお薦めします。

表 2-1 様々なジョブ職責に対して作成できるロールの例*

ジョブ職責

Enterprise Managerでのロール

ロールでの権限(最小セット)

グループ管理者

グループ・メンバーシップを定義し、グループに対する権限を他の管理者に付与をします。

GROUP_ADMIN_ROLE

グループに対するグループ管理

シニア管理者

Enterprise Managerでのターゲットの追加と削除、ターゲットに対する監視設定の計画と設定を行います。また、イベントのインシデントの作成に関するルールの設定および通知の送信を行います。

SENIOR_ADMIN_ROLE

任意のターゲットの追加

エンタープライズ・ルール・セットの作成

グループのオペレータ

ジョブ・システムでの作成

EM_TC_DESIGNERロール

ターゲット所有者

所有するターゲットに対して、監視設定の設定、イベントまたはインシデントに対する応答、メンテナンス操作の実行を行います。

TARGET_OWNER_ROLE

管理している管理グループのオペレータ

ジョブ・システムでの作成

任意の監視テンプレートの表示

管理しているグループに関連付けられたテンプレート・コレクションの表示

第1レベルのサポート

ターゲットでのイベントまたはインシデントに対する応答を行います。操作手順の一部として、ダウンしているターゲットのブラックアウトができます。

FIRST_LEVEL_SUPPORT

適切な管理グループでターゲット・イベントを管理

適切な管理グループでターゲットをブラックアウト

表に一覧した権限は、ロールでの権限の最小セットを示しています。他の職責に基づいてさらに権限を追加できます。また、ロールの作成にはスーパー管理者権限が必要です。ロールが定義されると、これらのロールをEnterprise Managerの管理者に付与できるようになります。これを行うには、いくつかの方法があります。

- Enterprise Manager管理者の作成または編集時にロールを割り当てます。

- ロールの作成または編集の一部として、ロールを付与する管理者を選択します。

- Enterprise Managerコマンドライン・ツール(EM CLI)を使用して管理者を作成または編集する際に、ユーザーに付与されるロールを指定できます。また、EM CLIを使用して既存のユーザーに直接ロールを付与できます。

たとえば、開発チームで使用するホスト・ターゲットに対するオペレータ権限を開発チームのすべてのメンバーに付与する場合を考えます。最初に、関連するホスト・ターゲットを含む権限伝播グループ(Devt-Group)を作成できます。次に、ロール(Devt-Role)を作成し、このロールにDevt-Groupでのオペレータ権限を含めます。最後に、Devt-Roleを開発チームのすべてのメンバーに付与します。これによって、開発チームのすべてのメンバーに、Devt-Groupでのすべてのターゲットに対するオペレータ権限が付与されます。新規のホスト・ターゲットが追加されるとき、これらの新規ターゲットをDevt-Groupに追加するだけで、開発チームのすべてのメンバーは自動的に新規に追加されたターゲットに対するオペレータ権限を取得できます。次のシナリオでは、権限伝播グループをロールとともに使用する他の例を示します。

ここでは、権限伝播グループを使用するベストなタイミングと、ターゲット・グループを作成し、このグループにメンバーを追加し、これらのターゲット・グループにロールと管理者を割り当てる方法をまとめた2つのユースケースを紹介します。

2.2.3.1 例1: 様々なチームにターゲット・グループへの異なるレベルのアクセス権を付与

ある組織内のデータベース・インスタンスおよびWebLogic Serverのコレクションが、組織内の別々のチームで管理されていることを考えます。いずれのチームもEnterprise Managerを使用して自らのターゲットを管理しています。DBAは、データベース・インスタンスに対する完全なアクセス権限とWebLogic Serverの表示権限を必要とします。同様に、WebLogic Server管理者は、WebLogic Serverに対する完全な権限とデータベース・インスタンスに対する表示権限を必要とします。

2つのチームにまたがって権限を管理するには、まずそれぞれのチームのターゲットを含む2つの権限伝播グループを作成します。たとえば、データベース・インスタンスを含むDBAGroupというターゲット・グループと、Oracle WebLogic Serverを含むWLSGroupという別のターゲット・グループを作成できます。DBAGroupには、DBAが修正および管理できるデータベース・インスタンスが含まれます。これに対し、WLSGroupはWeb Logic Server管理者が修正および管理するWeb Logic Serverのグループです。さらに、DBAはWeb Logic Serverターゲットを表示することを必要とし、Web Logic Server技術者はデータベース・インスタンスを表示することを必要とします。次の手順では、これらのターゲット・グループ、権限およびロールの設定方法と、正しい管理者への適切なロールの付与方法を説明します。

この手順は次のとおりです。

1. ターゲット・グループを作成します。コンソールの「ターゲット」でドロップダウン・メニューから「グループ」を選択します。

2. メニューから「作成」をクリックし、ドロップダウン・メニューから「グループ」を選択します。

3. 名前をDBAGroupと入力します。
チェック・ボックスを選択して「権限の伝播」を有効にします。これにより管理者は、グループに対する権限をユーザーに一度で付与でき、この権限は自動的にグループの各メンバーに伝播(適用)されます。

4. 追加したいデータベース・ターゲットを新しいデータベース・グループDBAGroupに追加します。これは、リストからデータベース・インスタンス・ターゲットを選択して、「追加」ボタンを押すことで追加されます。「選択」ボタンをクリックします。

5. 「OK」を選択します。

6. 新しいグループDBAGroupが使用可能なグループのリストに表示されます。

7. ここで、手順1から6を繰り返して、WLSGroupとして、このグループに適切なWebLogice Serverターゲットを追加して、2つ目の権限伝播グループを作成します。

8. 2つ目のグループ(WLSGroup)が、使用可能なグループのリストに表示されます。

9. 次に、ロールを作成します。ロールには、管理者に付与できる権限が含まれます。「ロール」ページに進みます。「設定」→「セキュリティ」→「ロール」ページと進みます。

10. 「作成」をクリックします。

11. 「プロパティ」ページでロールの名前を入力します。この例ではDBA-ROLEという名前にしています。このロールにはDBAチームの権限が含められます。これには、DBAGroupのすべてのデータベース・インスタンスに対する「完全」権限と、WLSGroupのすべてのWebLogicサーバー・インスタンスに対する「表示」権限が含められます。「次へ」ボタンをクリックします。

12. ロール・ページで、「次へ」をクリックします。

13. 「ターゲット権限」ページで、ページ下部の「ターゲット権限」セクションまでスクロール・ダウンします。「追加」ボタンをクリックします。使用可能なターゲットのリストが表示されます。検索結果を向上させるには、「グループ」ターゲット・タイプを選択します。今作成した2つのグループ、DBAGroupおよびWLSGroupを選択します。

14. 2つのグループが表示されます。このロールDBA-ROLEには、DBAGroupのすべてのデータベースに対して「完全」を付与し、WLSGroupのすべてのWebLogicサーバー・ターゲットに対し「表示」を付与する必要があります。デフォルトの権限が「表示」であるため、このロールではWLSGroupをデフォルトの「表示」権限としたまま、DBAGroupの権限を変更するだけですみます。これは、「ターゲット権限付与の管理」列の「表示」の右側にある鉛筆アイコンを選択して行います。「続行」ボタンをクリックします。

15. 「完全」の権限をクリックし、「続行」ボタンを選択します。

16. 新しい権限が表示されます。「次へ」ボタンを選択します。

17. 「リソース権限」ページで「次へ」を選択します。

18. このロールDBA-ROLEを付与する管理者を選択します。「次へ」ボタンを選択します。

19. 新規のロールDBA-ROLEの設定を確認します。

20. 次に2つ目のロールWLS-ROLEを作成します。このロールでは、WLSGroupのすべてのWebLogic Serverに対する完全な権限DBAGroupのすべてのデータベース・インスタンスに対する表示権限をユーザーに付与できます。2つ目のロールをWLS-ROLEという名前にして、手順10から19を繰り返します。次に示された確認ページに進みます。

2.2.3.2 例2: 開発者へのターゲット・データベース・インスタンスに対する表示アクセスの付与

通常データセンター内のDBAでは、基礎となるデータベースに対するアプリケーションの影響についての情報を直接表示できるように、アプリケーション開発者にデータベース・パフォーマンス・ページへの読取り専用アクセスを提供すること、およびデータベースでのすべての書込み操作からそれらを制限します。DBAは、開発者とデータベース・ユーザー・アカウント情報を共有したり、各データベース・インスタンスに対する個別のユーザー・アカウントを作成することを必要としない場合があります。

ターゲットに対して読取り専用アクセスを有効にするには、「読取り専用でのターゲットの接続」権限を使用できます。多くのデータベース間で開発者チームに対するこの権限の付与を管理するために、権限伝播グループを作成し、このターゲット・グループ(たとえば、DevGroupと呼びます)にデータベース・インスタンスを追加できます。たとえばDEV-ROLEというロールを作成し、このロールに対して権限「読取り専用でのターゲットの接続」を付与し、この作業の中でこのロールを各開発者に割り当て、データベース・インスタンスのパフォーマンス・データへのアクセス権を付与します。これらのエンジニアは各データベース・インスタンスに対する個々のユーザー・アカウントを持っていないため、データベース・ユーザー資格証明を含むDevCredという名前付き資格証明を作成し、この名前付き資格証明をデータベース・インスタンスのパフォーマンス・データにアクセスする必要のある各開発者に割り当てます。次の手順では、ターゲット・グループを設定し、このグループにロールおよび名前付き資格証明を割り当てる方法を説明します。

この手順は次のとおりです。

1. ターゲットのグループを作成します。コンソールの「ターゲット」でドロップダウン・メニューから「グループ」を選択します。

2. 「作成」をクリックし、ドロップダウン・メニューから「グループ」を選択します。

3. 新しいターゲット・グループの名前を入力します。このユーザー・ケースではDevGroupとします。

4. チェック・ボックスを選択して「権限の伝播」を有効にします。これにより管理者は、グループに対する権限を1人のユーザーに一度で付与でき、その権限を自動的にグループの各メンバーに伝播(適用)できます。追加するデータベース・ターゲットをこのグループに追加します。これは、「追加」ボタンを押して、リストから「ターゲット」を選択して行います。

5. 「OK」を選択します。

6. 新しいターゲット・グループDevGroupが使用可能なグループのリストに表示されます。

7. 次に、ターゲットのDevGroupの表示専用ロールを作成します。ロールは管理者に付与される権限です。「ロール」ページに行き、「設定」→「セキュリティ」→「ロール」と進みます。

8. 「作成」ボタンをクリックします。

9. 「プロパティ」ページで新しいロール名、DEV-ROLEを入力し、「次へ」ボタンをクリックします。

10. 「ロール」ページで「次へ」をクリックします。

11. 「ターゲット権限」ページで、ページ下部の「ターゲット権限」セクションまでスクロール・ダウンします。「追加」ボタンをクリックします。使用可能なターゲットが表示されます。検索結果を向上させるには、「グループ」ターゲット・タイプを選択します。今作成したグループ、DevGroupを選択します。「選択」ボタンをクリックします。

12. ターゲット・グループが表示されます。このロールDEV-ROLEには、DevGroupのすべてのデータベースに対して「読取り専用でのターゲットの接続」を付与する必要があります。これは、「ターゲット権限付与の管理」列の「表示」の右側にある鉛筆アイコンを選択して行います。

13. 「読取り専用でのターゲットの接続」権限をクリックし、ページ下部までスクロールします。「続行」ボタンを選択します。

14. 新しい権限が表示されます。「次へ」ボタンを選択します。

15. 「リソース権限」ページで「次へ」を選択します。

16. このロールDEV-ROLEを付与する管理者を選択します。「次へ」ボタンを選択します。

17. 新規のロールDEV-ROLEの設定を確認します。

18. 次に、名前付き資格証明を作成します。このケースでは名前付き資格証明に、データベースのログオンに使用されたデータベース資格証明が含まれています。これは、開発者がEnterprise Managerのデータベース・パフォーマンス・ページにアクセスするときに使用されます。「設定」→「セキュリティ」→「名前付き資格証明」とリンクをたどります。

19. 「作成」ボタンをクリックします。

20. この名前付き資格証明がデータベースへのログオンに使用するユーザー名およびパスワード情報を入力します。次の情報を選択しています。
「資格証明名」: DevCred

認証ターゲット・タイプ: データベース・インスタンス -このユース・ケースでは、DevGroupのデータベース・インスタンスに対する開発エンジニアのアクセス権を付与することに関心を持っています。

「資格証明のタイプ」: 「データベース資格証明」 - このユース・ケースでは、さきほど指定したターゲット・タイプのユーザー名およびパスワードを入力します。

「有効範囲」: 「グローバル」 - このユース・ケースでは、このユーザー名およびパスワードが各データベースに適用されます。「テストと保存」ボタンをクリックします。

21. 有効な「テスト・ターゲット名」を入力し、「テストと保存」クリックします。

22. 新しい名前付き資格証明が表示されます。この名前付き資格証明を開発エンジニアの1人に付与するには、「アクセスの管理」をクリックします。

23. 「権限の追加」ボタンをクリックします。

24. この名前付き資格証明を使用する開発エンジニアを選択します。「選択」ボタンをクリックします。

25. ページの下部にユーザー情報が表示されます必要であれば、さらにユーザーを追加することもできます。

26. この開発エンジニアがEnterprise Managerにログオンすると、パフォーマンス情報などの必要なデータを表示するアクセス権を取得します。ただし、予想されるように、データベースへの書込み操作は実行できません。ユーザーかデータベースに対して書込み操作を行った場合、Enterprise Managerに次のエラーが表示されます。
コミットに失敗: READONLY接続を使用してこの操作を実行しているため、Enterprise Managerによりこのタスクの実行がブロックされました。

2.2.3.3 権限のサマリー

管理者の権限ページには、その管理者に付与された権限およびロールがすべて表示されます。またこのページには、ターゲットへの管理者のアクセス権の概要の他、管理者が所有する名前付き資格証明およびセキュア・リソースも表示されます。次の図は、Enterprise Managerの管理者権限のページの例を示しています。このページは、管理者名の横のドロップダウン・メニューをクリックして、「権限のサマリー」をクリックすることでアクセスできます。

2.3 セキュアな通信の構成

この項の内容は、次のとおりです。

- セキュアな通信

- Oracle Management Serviceのセキュリティの有効化

- Oracle Management Agentの保護

- エージェント登録パスワードの管理

- 管理サービスへのHTTPアクセスの制限

- 管理リポジトリ・データベースのセキュリティの有効化

- カスタム構成

- セキュアな通信設定ツール

- サード・パーティの証明書の構成

2.3.1 セキュアな通信

Enterprise Manager Framework Securityによって、Enterprise Managerコンポーネント間の安全な通信チャネルが実現します。たとえば、Framework SecurityではOracle Management Serviceとその管理エージェントの間の接続が保護されます。またセキュアな通信では、盗聴などのネットワークの脅威から保護し、公開鍵暗号などの技術を使用して機密保護および整合性を確保します。

関連項目:
Enterprise Managerコンポーネントの概要は『Oracle Enterprise Manager概要』。

Enterprise Manager Framework Securityは、次のようなEnterprise Managerコンポーネント間のセキュアな接続を実装します。

- 管理サービスと管理エージェントの間の通信のための、署名されたデジタル証明書も含む、HTTPSおよび公開鍵インフラストラクチャ(PKI)コンポーネント。

関連項目:
デジタル証明書や公開鍵などの公開鍵インフラストラクチャ機能の概要は『Oracle Database 2日でセキュリティ・ガイド』

- 管理サービスと管理リポジトリの間の通信のためのOracle Advanced Security。

関連項目:
『Oracle Database Advanced Securityガイド』

2.3.2 Oracle Management Serviceのセキュリティの有効化

管理サービスに対してEnterprise Manager Framework Securityを有効にするには、管理サービスのホーム・ディレクトリの次のサブディレクトリにあるemctl secure omsユーティリティを使用します。

<OMS_ORACLE_HOME>/bin

emctl secure omsユーティリティでは次の処理が実行されます。

- 管理リポジトリ内にルート鍵を生成します。ルート鍵は、管理サービスおよび管理エージェントに対する一意のデジタル証明書を含むOracle Walletの配布時に使用されます。Oracle Walletは、Oracle Clientおよびサーバーへのセキュリティ資格証明の保存に使用されます。Oracle Walletの詳細は、『Oracle Database Advanced Securityガイド』を参照してください。

- WebTier内にある既存のHTTPS構成とは別に、管理サービスと管理エージェントの間のHTTPSチャネルが有効になるようにWebTierを変更します。

- Enterprise Manager Framework Securityを使用した管理エージェントからのリクエストを管理サービスが受諾できるようにします。

emctl secure omsユーティリティを実行するには、エージェント登録パスワードを最初に選択する必要があります。エージェント登録パスワードは、Oracle Management Agentの今後のインストールでデータをEnterprise Managerインストールにロードする権限があることを検証するために使用されます。

Oracle Management Serviceに対してEnterprise Manager Framework Securityを有効にするには、次のようにします。

1. 次のコマンドを使用して管理サービス、WebTierを停止します。

<OMS_ORACLE_HOME>/bin/emctl stop oms

2. 次のコマンドを入力します。

<OMS_ORACLE_HOME>/bin/emctl secure oms

3. Enterprise Managerのルート・パスワードを入力するよう求められます。SYSMANのパスワードを入力します。

4. エージェント登録パスワードを指定するよう求められます。このパスワードは、管理サービスを使用してセキュアな通信を確立しようとする管理エージェントに必要なパスワードです。管理サービスのエージェント登録パスワードを指定します。

5. OMSを再起動します。

6. 管理サービスが再起動した後、HTTPSプロトコルを使用して次のセキュアなURLを参照し、管理サービスへの保護された接続をテストします。

https://hostname.domain:https_console_port/em

注意: Enterprise ManagerコンソールURLは、"emctl status oms -details"コマンドを実行して確認できます。

例:

$ emctl status oms -details
Oracle Enterprise Manager Cloud Control 13c Release 3
Copyright (c) 1996, 2013 Oracle Corporation. All rights reserved.
Enter Enterprise Manager Root (SYSMAN) Password :
...
Console URL: https://omshost.mydomain.com:5416/em

管理サービスのセキュリティが正常に有効化された場合、ブラウザにEnterprise Managerのログイン・ページが表示されます。

例2-3 emctl secure omsコマンドの出力例

$ emctl secure oms
Oracle Enterprise Manager Cloud Control 13c Release 3
Copyright (c) 1996, 2013 Oracle Corporation. All rights reserved.
Securing OMS... Started.
Enter Enterprise Manager Root (SYSMAN) Password :
Enter Agent Registration Password :
Securing OMS... Successful
Restart OMS

2.3.2.1 サーバー・ロード・バランサを使用するOMSの構成

サーバー・ロード・バランサ(SLB)の裏で使用可能な管理サービスをデプロイする場合は、その管理サービスが使用可能なDNSホスト名に対して特別の注意が必要です。管理サービスは、myhost.mycompany.comなどの特定のローカル・ホストで稼働している場合もありますが、管理エージェントは、サーバー・ロード・バランサに割り当てられているホスト名を使用して管理サービスにアクセスします。たとえば、oracleoms.mycompany.comです。

このため、管理サービスに対してEnterprise Manager Framework Securityを有効化する場合は、サーバー・ロード・バランサのホスト名が、SSL通信のために管理サービスによって使用される証明書に埋め込まれていることを確認してください。これは、emctl secure omsを使用し、次のように、追加の-hostパラメータを使用してホスト名を指定することにより行うことができます。

注意:
コマンドを実行する前に、まずSLBのホスト名、ポートを指定し、SLBが構成されていることを確認する必要があります。

- 次のコマンドを入力して管理サービス上でセキュリティを有効化します。
emctl secure oms -host <slb_hostname> [-slb_console_port <slb UI port>] [-slb_port <slb upload port>] [other params]

各OMSでこのコマンドを実行します。'emctl secure oms'コマンドの実行後、各OMSを再起動する必要があります。

- サーバー・ロード・バランサ上に仮想サーバーとプールを作成します。

- 次のURLを使用してコンソールにアクセスできることを検証します。
https://slb_hostname:slb_console_port/em

- 次のコマンドを使用して、サーバー・ロード・バランサでエージェントを再度保護します。
emctl secure agent -emdWalletSrcUrl <SLB Upload or UI URL>

例:

Agent_Home/bin/emctl secure agent -emdWalletSrcUrl https://slb_hostname:slb_upload_port/em

1つのロード・バランサをアップロード操作用に、もう1つをコンソール操作用に指定して、Oracle Enterprise Managerを構成できます。それには、両方のSLBのプールをそれぞれのポートで構成し、次のコマンドを使用して、コンソール操作とアップロード操作に対して個別にOMSを保護する必要があります。

$emctl secure oms -host <slb_hostname>[-slb_port <slb upload port>] [other params] $emctl secure console -host <slb_hostname> other params

2.3.2.1.1 サーバー・ロード・バランサの構成の削除

以前、emctl secure oms -hostを使用してSLBを含めてOMSを構成したが、その後にSLB構成を削除する場合、次のコマンドを実行します。

emctl secure oms -no_slb

SLBホスト名を使用したセキュアなエージェントがある場合、OMSホスト名を使用して、それらのエージェントを再保護する必要があります。エージェントを再保護するには、次のコマンドを実行します。

emctl secure agent -emdWalletSrcUrl <Upload URL>

2.3.2.2 新しい認証局の作成

現在の認証局(CA)の有効期限が切れる場合や、鍵の強度や署名アルゴリズムを変更する場合は、新しいCAを作成する必要があります。各CAに一意の識別子が割り当てられます。たとえば、インストール時に作成されたCAの識別子はID 1となり、以降のCAの識別子はID 2、ID 3といった具合になります。最後に作成されたCAが常にアクティブであり、OMSとエージェントの証明書を発行します。

1. OMSマシンのいずれかでemctl secure createcaコマンドを実行します。

2. 使用している環境に複数のOMSがある場合、emctl secure createcaが実行されたマシンから<EM_Instance_Home>/sysman/config/b64LocalCertificate.txtを他のすべてのOMSマシンの同じ場所(つまり、<EM_Instance_Home>/sysman/config/b64LocalCertificate.txt)にコピーします。

3. すべてのOMSを再起動します。

例2-4 新しい認証局の作成

emctl secure createca [-sysman_pwd <pwd>] [-host <hostname>] [-key_strength <strength>] [-cert_validity <validity>] [-root_dc <root_dc>] [-root_country <root_country>] [-root_email <root_email>] [-root_state <root_state>] [-root_loc <root_loc>] [-root_org <root_org>] [-root_unit <root_unit>] [-sign_alg <md5|sha1|sha256|sha384|sha512>] [-cert_validity <validity>]
Oracle Enterprise Manager 13c Release 3 Cloud Control
Copyright (c) 1996, 2013 Oracle Corporation.  All rights reserved.
Creating CA... Started.
Successfully created CA with ID 2

例2-5 認証局に関する情報の表示

emcli get_ca_info -ca_id="1;2" -details
Info about CA with ID: 1
CA is not configured
DN: CN=myhost.example.com, C=US
Serial# : 3423643907115516586
Valid From: Tue Mar 16 11:06:20 PDT 2011
Valid Till: Sat Mar 14 11:06:20 PDT 2020
Number of Agents registered with CA ID 1 is 1
myhost.mydomain.com:3872

Info about CA with ID: 2
CA is configured
DN: CN=myhost.example.com, C=US, ST=CA
Serial# : 1182646629511862286
Valid From: Fri Mar 19 05:17:15 PDT 2011
Valid Till: Tue Mar 17 05:17:15 PDT 2020
There are no Agents registered with CA ID 2

2.3.2.2.1 管理資格証明ウォレット

WebLogic管理者とノード・マネージャのパスワードは、管理資格証明ウォレットに保存されます。これは、EM_INSTANCE_HOME/sysman/config/adminCredsWalletディレクトリにあります。管理資格証明ウォレットを再作成するには、管理サービスが実行している各マシンで次のコマンドを実行します。

emctl secure create_admin_creds_wallet [-admin_pwd <pwd>] [-nodemgr_pwd <pwd>]

2.3.2.3 セキュリティ・ステータスとOMSポート情報の表示

セキュリティ・ステータスとOMSポート情報を表示するには、次のコマンドを使用します。

例2-6 emctl status oms -details

Oracle Enterprise Manager Cloud Control 13c Release 3
Copyright (c) 1996, 2013 Oracle Corporation. All rights reserved.
Console Server Host : mymachine.mycompany.com
HTTP Console Port : 7802
HTTPS Console Port : 5416
HTTP Upload Port : 7654
HTTPS Upload Port : 4473
EM Instance Home : /ade/myadmin_txn48/oracle/work/em/EMGC_OMS1
OMS Log Directory Location : /ade/myadmin_txn48/oracle/work/em/EMGC_OMS1/sysman/log
OMS is not configured with SLB or virtual hostname
Agent Upload is locked.
OMS Console is unlocked.
Active CA ID: 2
Console URL: https://mymachine.mycompany.com:5416/em
Upload URL: https://mymachine.mycompany.com:4473/empbs/upload

WLS Domain Information
Domain Name : EMGC_DOMAIN
Admin Server Host : mymachine.mycompany.com
Admin Server HTTPS Port: 7022
Admin Server is RUNNING

Managed Server Information
Managed Server Instance Name: EMGC_OMS1
Managed Server Instance Host: mymachine.mycompany.com
WebTier is Up
Oracle Management Server is Up

2.3.2.4 Transport Layer Securityの構成

Oracle Management ServiceはTLSv1、TLSv1.1およびTLSv1.2モードで構成できます。デフォルトでは、3つのモードすべてが有効になっています。1つまたは2つのモードのみを使用するようにOMSを構成するには、次を実行します。

1. 次のコマンドを入力してOMSを停止します。

<OMS_ORACLE_HOME>/bin/emctl stop oms

2. 次のいずれかに類似するコマンドを入力します。
OMSを1つの特定モードに制限するには、次を入力します。

emctl secure -protocol "TLSv1"

複数のモードを有効にするには、スペース区切りリストを使用します。例を示します。

emctl secure oms -protocol "TLSv1.1 TLSv1.2"

3. 次のコマンドでOMSを再起動します。

<OMS_ORACLE_HOME>/bin/emctl start oms

2.3.3 Oracle Management Agentの保護

ホストに管理エージェントをインストールする際は、管理エージェントによって使用される管理サービスを指定する必要があります。管理エージェントに対してEnterprise Manager Framework Securityを有効にするには、管理エージェントのホーム・ディレクトリの次のディレクトリにあるemctl secure agentユーティリティを使用します。

<AGENT_INSTANCE_HOME>/bin (UNIX)
<AGENT_INSTANCE_HOME>\bin (Windows)

emctl secure agentユーティリティでは次の処理が実行されます。

- 管理エージェントに対する一意のデジタル証明書を含むOracle Walletを管理サービスから取得します。この証明書は、管理エージェントがセキュアな管理サービスとSSL通信を行うために必要です。

- 管理サービスで登録されている管理エージェントのエージェント・キーを取得します。

- ネットワーク上でHTTPS経由で使用可能となるように管理エージェントを構成し、それによって管理サービスとのすべての通信で管理サービスのHTTPSアップロードURLを使用するように構成します。

管理エージェントに対してEnterprise Manager Framework Securityを有効にするには、次のようにします。

1. 管理サービスと管理リポジトリを稼働状態にします。

2. 管理エージェントを停止します。

emctl stop agent

3. 次のコマンドを入力します。

emctl secure agent

emctl secure agentユーティリティはエージェント登録パスワードを要求し、そのパスワードを管理サービスに対して認証して、Enterprise Manager Framework Securityを使用するように管理エージェントを再構成します。

例2-7「emctl secure agentユーティリティのサンプル出力」は、emctl secure agentユーティリティのサンプル出力を示しています。

4. 管理エージェントを再起動します。

emctl start agent

5. 管理エージェントのホームページをチェックして、管理エージェントが保護されていることを確認します。

注意:
また、emctl status agent -secureコマンドを実行するか、emctl status agentコマンドの出力に含まれるエージェントおよびリポジトリのHTTPS URLをチェックすることによっても、管理エージェントが保護されているかどうかを確認できます。

管理エージェントのホームページの「セキュア・アップロード」フィールドに、Enterprise Manager Framework Securityが管理エージェントに対して有効になっているかどうかが示されます。

例2-7 emctl secure agentユーティリティの出力例

emctl secure agent
Oracle Enterprise Manager 13c Release 3 Cloud Control.
Copyright (c) 1996, 2013 Oracle Corporation.  All rights reserved.
Securing agent...   Started
Securing agent...   Successful.

例2-8 emctl status agent secureコマンドの出力例

$ emctl status agent -secure
Oracle Enterprise Manager Cloud Control 13c Release 3
Copyright (c) 1996, 2013 Oracle Corporation. All rights reserved.
Checking the security status of the Agent at location set in /ade/pchebrol_emkey/oracle/work/agentStateDir/sysman/config/emd.properties... Done.
Agent is secure at HTTPS Port 1838.
Checking the security status of the OMS at http://adc4110148.us.mycompany.com:7654/empbs/upload/... Done.
OMS is secure on HTTPS Port 4473

2.3.4 エージェント登録パスワードの管理

Enterprise Managerでは、Oracle Management AgentのインストールがデータをOracle Management Serviceにロードする権限を持つことを検証するために、エージェント登録パスワードを使用します。

エージェント登録パスワードは、Oracle Management Serviceに対してセキュリティが有効な場合、インストール時に作成されます。Enterprise Managerコンソールから登録パスワードを直接追加、編集、削除できます。

注意:
新しいエージェントがOMSに登録されないようにするには、すべての登録パスワードを削除してください。

2.3.4.1 Cloud Controlコンソールを使用したエージェント登録パスワードの管理

Cloud Controlコンソールを使用して既存の登録パスワードの管理、または追加の登録パスワードの作成ができます。

1. 「設定」メニューから、「セキュリティ」、「登録パスワード」の順に選択します。

2. 登録パスワード・ページが表示されます。インストール中に指定された登録パスワードは、「登録パスワード」表に<I初期エージェント登録パスワード>の記載とともに表示されます。

3. 「登録パスワード」ページを使用して登録パスワードの変更、追加の登録パスワードの作成、または現在の管理リポジトリに関連付けられている登録パスワードの削除を行います。

「登録パスワード」ページで管理エージェント登録パスワードを作成または編集するとき、パスワードを永続的にして複数の管理エージェントで使用するのか、1回のみまたは事前定義した期間のみ使用するのかを選択できます。

たとえば、管理者が特定のホストに管理エージェントをインストールすることを要求した場合、管理者が1つの管理エージェントをインストールおよび構成するために使用する、1回のみのパスワードを作成できます。

このケースとは逆に、期限切れになり管理者が新規パスワードを求めることが必要になるまで、次の2週間ずっと管理者が使用できる永続的なパスワードを作成することもできます。

2.3.4.2 emctlを使用した新しいエージェント登録パスワードの追加

新しいエージェント登録パスワードを追加するには、管理サービスがインストールされているマシン上で次のemctlコマンドを使用します。

emctl secure setpwd [sysman pwd] [new registration pwd]

emctl secure setpwdコマンドを使用するには、エージェント登録パスワードの追加を認証するため、Enterprise Managerのスーパー管理者ユーザーであるsysmanのパスワードが必要になります。

他のセキュリティ・パスワードと同様に、定期的かつ頻繁にエージェント登録パスワードを変更し、パスワードが広く知られることのないようにしてください。

2.3.5 管理サービスへのHTTPアクセスの制限

管理サービスのHTTPSチャネルを使用するセキュアな管理エージェント・インストールのみが、管理リポジトリにデータをアップロードでき、Cloud ControlコンソールにはHTTPS経由でのみアクセス可能にすることが重要です。

管理エージェントがHTTPS経由でのみ管理サービスにデータをアップロードできるようにアクセスを制限するには、次のようにします。

1. 次のコマンドを使用して管理サービス、WebTierを停止します。

cd <OMS_ORACLE_HOME>/bin
emctl stop oms

2. 次のコマンドを入力して、管理エージェントがHTTP経由で管理サービスにデータをアップロードできないようにします。

emctl secure lock -upload

コンソールをロックしてコンソールへのHTTPアクセスを防ぐには、次のコマンドを入力します。

emctl secure lock -console

両方ともロックするには次のコマンドのいずれかを入力します。

emctl secure lock or
emctl secure lock -upload -console

管理サービス上でセキュリティを有効化する一方で、コンソール・アクセスとエージェントからのアップロードの両方をロックするには、次のコマンドを入力します。

emctl secure oms -lock [other options]

3. 管理サービス、WebTier、およびその他のアプリケーション・サーバー・コンポーネントを再起動します。

emctl start oms

4. HTTPプロトコルを使用してOMSアップロードURLにアクセスできないことを確認します。
たとえば、次のURLにナビゲートします。

http://hostname.domain:4889/empbs/upload

次のメッセージと同様のエラー・メッセージが返されます。

Forbidden
You are not authorised to access this resource on the server.

注意: HTTPアップロード・ポート番号はemctl status oms -detailsコマンドを使用して確認できます。「HTTPアップロード・ポート」の検索

5. HTTPSプロトコルを使用してOMSアップロードURLにアクセスできることを確認します。
たとえば、次のURLにナビゲートします。

https://hostname.domain:4888/empbs/upload

次のメッセージが返されますが、これは管理エージェントを保護するためにセキュアなアップロード・ポートが使用可能であることを示すものです。

Http XML File receiver
Http Recceiver Servlet active!

管理サービスがセキュアではない管理エージェントからのアップロードを受け取れるようにするには、次のコマンドを使用します。

emctl secure unlock -upload

注意:

- 'secure unlock'を実行する前にOMSを停止し、その後再起動する必要があります。

- コンソールをロック解除してコンソールへのHTTPアクセスを許可するには、次のコマンドを入力します。

emctl secure unlock -console

- 両方ともロック解除するには次のコマンドのいずれかを入力します。

emctl secure unlock
emctl secure unlock -console -upload

例2-9 emctl secure lockコマンドの出力例

emctl secure lock
Oracle Enterprise Manager 13c Release 3 Cloud Control
Copyright (c) 1996, 2013 Oracle Corporation.  All rights reserved.
OMS Console is locked. Access the console over HTTPS ports.
Agent Upload is locked. Agents must be secure and upload over HTTPS port.
Restart OMS

例2-10 emctl secure unlockコマンドの出力例

emctl secure unlock
Oracle Enterprise Manager 13c Release 3 Cloud Control
Copyright (c) 1996, 2013 Oracle Corporation.  All rights reserved.
OMS Console is unlocked. HTTP ports too can be used to access console.
Agent Upload is unlocked. Unsecure Agents may upload over HTTP.
Restart OMS

注意:
Enterprise Manager 13c以降、Oracle Management Serviceはデフォルトでロックされます(コンソールとアップロードの両方)。

2.3.6 管理リポジトリ・データベースのセキュリティの有効化

この項ではOracle Management Repositoryのセキュリティを有効にする方法を説明します。この項の内容は、次のとおりです。

- Oracle Advanced Securityとsqlnet.ora構成ファイルについて

- セキュアな管理リポジトリ・データベースへ接続するための管理サービスの構成

- 管理リポジトリに対するOracle Advanced Securityの有効化

- セキュアな管理リポジトリまたはデータベースを監視している管理エージェントのセキュリティの有効化

2.3.6.1 Oracle Advanced Securityとsqlnet.ora構成ファイルについて

管理リポジトリのセキュリティはOracle Advanced Securityを使用して有効にします。Oracle Advanced SecurityはOracleデータベースと双方向に転送されるデータのセキュリティを強化します。

関連項目:
『Oracle Database Advanced Securityガイド』

管理リポジトリのデータベースについてOracle Advanced Securityを有効にするには、sqlnet.ora構成ファイルを変更する必要があります。sqlnet.ora構成ファイルは、Oracle Advanced Securityパラメータなどの様々なデータベース接続パラメータを定義するために使用されます。

sqlnet.oraファイルはデータベース・ホームの次のサブディレクトリにあります。

<OMS_ORACLE_HOME>/network/admin

管理リポジトリおよびその管理リポジトリと通信する管理サービスについてセキュリティを有効にした後で、管理エージェント・ホーム・ディレクトリのsqlnet.ora構成ファイルを変更して、管理エージェントに対するOracle Advanced Securityも構成する必要があります。

関連項目:
「セキュアな管理リポジトリまたはデータベースを監視している管理エージェントのセキュリティの有効化」

管理サービスおよび管理リポジトリの両方がOracle Advanced Securityを使用するように構成されていることが重要です。構成されていない場合、管理サービスが管理リポジトリへの接続を試行した際にエラーが発生します。たとえば、管理サービスでは次のエラーが返される場合があります。

ORA-12645: Parameter does not exist

この問題を解決するには、管理サービスおよび管理リポジトリの両方が次の項で記述されているとおりに構成されるようにしてください。

注意:
この項の手順は、Oracle Advanced Securityが有効になるようにsqlnet.ora構成ファイルを手動で変更する方法を示しています。もう1つの方法として、『Oracle Database Advanced Securityガイド』に記述されている管理ツールを使用してこの変更を行うことができます。

2.3.6.2 セキュアな管理リポジトリ・データベースへ接続するための管理サービスの構成

管理サービス・データベースに対してOracle Advanced Securityを有効にしている場合、または管理リポジトリ・データベースに対してOracle Advanced Securityを有効にする予定の場合は、次の手順を実行し、管理サービスに対してOracle Advanced Securityを有効にします。

1. 管理サービスを停止します。

<OMS_ORACLE_HOME>/bin/emctl stop oms

2. emctl set propertyコマンドを使用して、Enterprise Manager操作プロパティを設定します。次の表に、設定する必要のあるemomsプロパティを示します。

表2-2 Enterprise Managerプロパティ内のOracle Advanced Securityプロパティ

プロパティ

説明

oracle.sysman.emRep.dbConn.enableEncryption

Enterprise Managerが管理サービスと管理リポジトリ間の暗号化を使用するかどうかを定義します。可能な値はTRUEおよびFALSEです。デフォルト値はTRUEです。次に例を示します。

emctl set property -name 'oracle.sysman.emrep.dbConn.enableEncryption" -value 'true'

oracle.net.encryption_client

管理サービスの暗号化要件を定義します。使用可能な値は、REJECTED、ACCEPTED、REQUESTEDおよびREQUIREDです。

重要: Enterprise Managerがサーバー生成アラート(表領域フルなど)からの通知を受け取ることができなくなるため、encryption_clientプロパティをREQUIREDに設定しないでください。現在、Enterprise ManagerはREQUIRED設定でのサーバー生成アラートをサポートしていません。REQUESTED設定の場合のみサポートされます。

デフォルト値はREQUESTEDです。データベースでセキュアな接続がサポートされている場合は管理サービスでセキュアな接続が使用され、サポートされていない場合はセキュアでない接続が使用されます。

例:

oracle.net.encryption_client=REQUESTED

oracle.net.encryption_types_client

クライアントでサポートされる様々な暗号化アルゴリズムを定義します。使用可能な値を丸カッコ内にリストします。デフォルト値は
( DES40C )です。

例:

oracle.net.
encryption_types_client=
( DES40C )

oracle.net.crypto_checksum_client

クライアントのチェックサム要件を定義します。

可能な値は、REJECTED、ACCEPTED、REQUESTEDおよびREQUIREDです。

デフォルト値はREQUESTEDです。つまり、サーバーでチェックサム対応接続がサポートされている場合は管理サービスでその接続が使用され、サポートされていない場合は通常接続が使用されます。

例:

oracle.net.
crypto_checksum_client=REQUESTED

oracle.net.crypto_checksum_types_client

クライアントでサポートされている別の種類のチェックサム・アルゴリズムを定義します。

可能な値は丸カッコで囲まれています。デフォルト値は( MD5 )です。

例:

oracle.net.
crypto_checksum_types_client=
( MD5 )

3. 管理サービスを再起動します。

<OMS_ORACLE_HOME>/bin/emctl start oms

2.3.6.3 管理リポジトリに対するOracle Advanced Securityの有効化

データベースが保護され、暗号化されたデータのみがデータベース・サーバーとその他のソースの間で転送されることを確実にするため、Oracle Databaseのドキュメント・ライブラリで入手可能なセキュリティに関するドキュメントを参照します。

関連項目:
『Oracle Database Advanced Securityガイド』

次の手順は、管理リポジトリ・データベースおよびそのデータベースと管理サービスとの接続に対してOracle Advanced Securityが有効になっていることを確認する方法の例です。

1. データベースのOracleホームの次のディレクトリにあるsqlnet.ora構成ファイルを探します。

<OMS_ORACLE_HOME>/network/admin

2. テキスト・エディタを使用して、sqlnet.oraファイル内で次のエントリ(または同様のエントリ)を探します。

SQLNET.ENCRYPTION_SERVER = REQUESTED
SQLNET.CRYPTO_SEED = "abcdefg123456789"

関連項目:
『Oracle Application Server管理者ガイド』のOracleサーバーおよびクライアントに対するネットワーク・データ暗号化および整合性の構成に関する項

3. 変更を保存してテキスト・エディタを終了します。

2.3.6.4 セキュアな管理リポジトリまたはデータベースを監視している管理エージェントのセキュリティの有効化

管理リポジトリについてOracle Advanced Securityを有効にした後で、管理リポジトリを監視する管理エージェントについてもOracle Advanced Securityを有効にする必要があります。

1. 管理リポジトリを監視している管理エージェントのホーム・ディレクトリの、次のディレクトリにあるsqlnet.ora構成ファイルを探します。

AGENT_HOME/network/admin (UNIX)
AGENT_HOME\network\admin (Windows)

2. テキスト・エディタを使用して、sqlnet.ora構成ファイルに次のエントリを追加します。

SQLNET.CRYPTO_SEED = "abcdefg123456789"

SQLNET.CRYPTO_SEEDは、10から70文字の任意の文字列になります。

関連項目:
『Oracle Application Server管理者ガイド』のOracleサーバーおよびクライアントに対するネットワーク・データ暗号化および整合性の構成に関する項

3. 変更を保存してテキスト・エディタを終了します。

4. 管理エージェントを再起動します。

2.3.7 カスタム構成

2.3.7.1 WebLogic Server用のカスタム証明書の構成

Enterprise Manager Cloud Controlの一部としてインストールされたWebLogic Server (管理サーバーおよび管理対象サーバー)は、デフォルトのアイデンティティ・キーストア(DemoIdentity.jks)とデフォルトのトラスト・キーストア(DemoTrust.jks)で構成されます。また、WebLogic Serverは、JDKのcacertsファイルのCA証明書を信頼します。このデフォルトのキーストア構成は、テストや開発を目的とする場合に適しています。ただし、これらのキーストアは本番環境では使用しないでください。

WLS用に構成されたデフォルトのデモ証明書は、512ビットのキー長です。最小の証明書キー長用のMicrosoftのセキュリティ更新(KB2661254)がブラウザ・マシンに適用された場合、WebLogic管理コンソールはInternet Explorerでアクセスできません。Internet Explorerを使用してWebLogic管理コンソールにアクセスするには、WLS用にカスタム証明書を構成してください。

次の項では、カスタムWeblogic Server証明書の構成を順を追って説明します。

1. 各OMS用Javaキーストアまたはウォレットの作成

2. カスタムCA証明書の、エージェントの監視トラスト・ストアへのインポート

3. 各WLS用カスタム証明書の構成

注意:
この手順は、Enterprise Manager 12c Cloud Control (12.1.0.2)以降に適用できます。

2.3.7.1.1 各OMS用Javaキーストアまたはウォレットの作成

1. 環境内の各OMS用のJavaキーストア(JKS)を作成します。
OMSがサーバーのロード・バランサを使用して構成されているかどうかにかかわらず、証明書署名リクエスト(CSR)の生成時には、CNに対するOMSマシン名を指定します(例: CN=myoms.mydomain.com)。OMSマシン名は、EM_INSTANCE_HOST property in <EM_Instance_Home>/emgc.propertiesの値からわかります。

各キーストアの、キーストア・パスワード、秘密鍵のエントリの別名、秘密鍵のパスワードを書き留めてください。

注意: WLSでサポートされている署名アルゴリズムのみを使用してください。

2. キーストアを対応するOMSマシンにコピーするか、またはOMSマシンからアクセスできる場所に配置します。
キーストアの例: /scratch/oms1.jks、/scratch/oms2.jks、/scratch/oms3.jks

3. 個別のファイルにCA証明書を作成します(ファイルごとに1つのCA証明書)。これらの証明書ファイルをOMSマシンにコピーするか、またはOMSマシンからアクセスできる場所に配置します。
ファイル名の例: /scratch/ca1cert.cer、/scratch/ca2cert.cer、/scratch/ca3cert.cer

Subject Alternative Name (SAN)フィールドを使用して、OMSにカスタム証明書を構成し、複数のホスト名を証明書に指定すると、1つ以上のホストで証明書を使用できます。Enterprise ManagerのすべてのSSLエンドポイントに対して、複数の個別の証明書の購入および管理が不要で、信頼性のある証明書を持つことができます。SANの使用により、すべてのホスト、SLB、OHSおよびWLSで使用できる1つの証明書を持つことができます。SANフィールドまたはフィールドで、*ワイルドカードを使用できます。たとえば、次のようにします: Subject: CN=*.mydomain.com O=My Org L=Redwood Shores S=California C=US Certificate Extensions: 9 Subject Alternative Name DNS Name=*.mydomain.com DNS Name=mydomain.com DNS Name=mydomain2.com

2.3.7.1.2 カスタムCA証明書の、エージェントの監視トラスト・ストアへのインポート

OMSとともにインストールされたOMSマシン上で実行中の管理エージェントで次の手順を実行します。

注意:
OMSとともにインストールされたエージェント上のみで必要で、他のエージェントでは必要ありません。

1. エージェントを停止します。
<Agent_Instance_Home>/bin/emctl stop agent

2. カスタムCA証明書をエージェントにインポートします。

<Agent_Instance_Home>/bin/emctl secure add_trust_cert_to_jks
-trust_certs_loc <ca_cert_file>
-alias <certalias> [-password <montrust_jks_pwd>]

例:

<Agent_Instance_Home>/bin/emctl secure add_trust_cert_to_jks -trust_certs_loc /scratch/ca1cert.cer
-alias ca1certalias [-password welcome]

カスタム証明書の発行に関連する各CAに対してこの手順を繰り返します。

毎回、異なる別名を指定します。

3. エージェントを起動します。
<Agent_Instance_Home>/bin/emctl

2.3.7.1.3各WLS用カスタム証明書の構成

各OMSで次の手順を実行します。

1. OMSを停止します。
<OMS_Home>/bin/emctl stop oms

2. 次のコマンドを実行します。

emctl secure wls
(-jks_loc <loc> -jks_pvtkey_alias <alias> [-jks_pwd <pwd>] [-jks_pvtkey_pwd <pwd>] | -wallet <loc>)
Specify jks_loc,jks_pvtkey_alias or wallet

例:

<OMS_OH>/bin/emctl secure wls
-jks_loc /scratch/oms1.jks -jks_pvtkey_alias pvtkey1alias

<OMS_OH>/bin/emctl secure wls -wallet /scratch/omswallet

3. OMSを停止します。
<OMS_Home>/bin/emctl stop oms -all

4. OMSを起動します。

注意:
前述の手順をすべての管理サービスで繰り返す必要があります。

<OMS_Home>/bin/emctl start oms

2.3.7.1.4 WebLogic Serverからデモ証明書へのロールバック

デフォルトのWebLogicデモ証明書を使用するように切り替える必要がある場合、各OMSで次の手順を実行します。

1. OMSを停止します。
<OMS_Home>/bin/emctl stop oms

2. 次のコマンドを実行します。

<OMS_Home>/bin/emctl secure wls -use_demo_cert

3. OMSを停止します。
<OMS_Home>/bin/emctl stop oms -all

4. OMSを起動します。
<OMS_Home>/bin/emctl start oms

注意:
前述の手順をすべての管理サービスで実行する必要があります。

2.3.7.2 OMSコンソール・アクセス用のカスタム証明書の構成

HTTPS WebTier仮想ホスト用のサード・パーティの証明書を構成する手順は、次のとおりです。

1. クラウド内のOMSごとにウォレットを作成します。OMSがインストールされているマシンのホスト名、またはロード・バランサ名(OMSがロード・バランサ内にある場合)を共通名に指定します。

2. 各OMSで次のコマンドを実行し、そのOMSを再起動します。

emctl secure console -wallet <location of custom wallets> -self_signed [-host]

注意:
引数-walletまたは-self_signedのいずれかは必須です。

注意:
サポートされるのはシングル・サインオン(SSO)のウォレットのみです。

2.3.7.3 OMSアップロード・アクセス用のカスタム証明書の構成

次の2種類の方法で、HTTPSアップロード仮想ホスト用のサード・パーティの証明書を構成できます。

方法1

1. クラウド内のOMSごとにウォレットを作成します。

2. ウォレットを作成する際に、OMSがインストールされているマシンのホスト名、またはロード・バランサ名(OMSがロード・バランサ内にある場合)を共通名に指定します。

3. 証明連鎖に含まれるすべての認証局(ルート認証局、中間認証局など)の証明書をtrusted_certs.txtという名前のファイルに記述します。

4. OMSと通信する各エージェントを実行中のホスト・マシンにtrusted_certs.txtファイルをダウンロードまたはコピーします。

5. 次のコマンドを実行して、カスタムCA証明書をエージェント用のトラスト証明書としてインポートします。

emctl secure add_trust_cert -trust_certs_loc <location of the trusted_certs.txt file>

6. エージェントを再起動します。

7. OMSを保護して再起動します。

emctl secure oms -wallet <location of wallet> -trust_certs_loc <loc of trusted_certs.txt> [any other options]

方法2

1. クラウド内のOMSごとにウォレットを作成します。

2. OMSがインストールされているマシンのホスト名、またはロード・バランサ名(OMSがロード・バランサ内にある場合)を共通名に指定します。

3. 証明連鎖に含まれるすべての認証局(ルート認証局、中間認証局など)の証明書をtrusted_certs.txtという名前のファイルに記述します。

4. OMSを保護します。

emctl secure oms -wallet <location of wallet> -trust_certs_loc <loc of trusted_certs.txt> [any other options]

5. OMSを再起動します。

6. emctl secure agentコマンドを実行(すべてのエージェントで実行)してエージェントを再度保護するか、emctl secureコマンドを実行してトラスト・ポイントをインポートします。

注意:
信頼できるcertsファイル(trusted_certs.txt)には、base64形式の証明書のみが含まれ、特殊文字やコメントは含められません。

2.3.8 セキュアな通信設定ツール

次のemctlコマンドは、Enterprise Managerインフラストラクチャの様々なコンポーネントの保護に使用されます。

2.3.8.1 emctl secure oms

emctl secure oms [-sysman_pwd <sysman password>] [-reg_pwd <registration password>]
[-host <hostname>] [-ms_hostname <Managed Server hostname>]
[-slb_port <SLB HTTPS upload port>] [-slb_console_port <ty6 HTTPS console port>] [-no_slb]
[-secure_port <OHS HTTPS upload Port>] [-upload_http_port <OHS HTTP upload port>]
[-reset] [-console] [-force_newca]
[-lock_upload] [-lock_console] [-unlock_upload] [-unlock_console]
[-wallet <wallet_loc> -trust_certs_loc <certs_loc>]
[-key_strength <strength>] [-sign_alg <md5|sha1|sha256|sha384|sha512>]
[-cert_validity <validity>] [-protocol <protocol>]
[-root_dc <root_dc>] [-root_country <root_country>] [-root_email <root_email>]
[-root_state <root_state>] [-root_loc <root_loc>] [-root_org <root_org>] [-root_unit <root_unit>]

パラメータ

説明

sysman_pwd

Oracle Management Repositoryのユーザー・パスワードです。

reg_pwd

管理エージェントの登録パスワードです。

host

Oracle Management Serviceで使用される証明書で使用されるホスト名です。管理サービスの前にSLBがある場合は、SLBホスト名を使用する必要がある場合があります。

reset

新しい認証局が作成されます。すべてのエージェントとOracle Management Serviceを再保護する必要があります。

secure_port

WebTierのHTTPSアップロード・ポートを変更する場合、これを指定します。

upload_http_port

WebTierのHTTPアップロード・ポートを変更する場合、これを指定します。

slb_port

サーバー・ロード・バランサを使用する場合、このパラメータは必須です。サーバー・ロード・バランサに構成されているセキュアなアップロード・ポートを指定します。

slb_console_port

サーバー・ロード・バランサを使用する場合、このパラメータは必須です。サーバー・ロード・バランサに構成されているセキュアなコンソール・ポートを指定します。

no_slb

SLB構成を削除します。

root_dc

ルート証明書で使用されるドメイン・コンポーネントです。デフォルト値はcomです。

root_country

ルート証明書で使用される国です。デフォルト値はUSです。

root_state

ルート証明書で使用される州です。デフォルト値はCAです。

root_loc

ルート証明書で使用される場所です。デフォルト値は、EnterpriseManager on <hostname>です。

root_org

ルート証明書で使用される組織名です。デフォルト値は、EnterpriseManager on <hostname>です。

root_unit

ルート証明書で使用される組織単位です。デフォルト値は、EnterpriseManager on <hostname>です。

root_email

ルート証明書で使用される電子メール・アドレスです。デフォルト値は、EnterpriseManager@<hostname>です。

wallet

サード・パーティの証明書を含むウォレットの場所です。このパラメータは、サード・パーティの証明書を構成する際に指定する必要があります。

trust_certs_loc

trusted_certs.txtの場所です(サード・パーティの証明書を使用する場合に必要)。

key_strength

使用される鍵の強度です。有効な値は、512、1024、2048、および4096です。
注意: IBM AIXプラットフォームの場合、key_strengthに使用できるのは最大で2048ビットです。

cert_validity

自己署名付き証明書の有効日数です。有効な範囲は、1から3650です。

protocol

TLSv1専用またはSSLv3専用、あるいは混合モード(デフォルト)でOracle Management Serviceを構成する場合に使用されます。有効な値は、ApacheのSSLProtocolディレクティブにより許可された値になります。
注意: key_strengthおよびcert_validityパラメータは、-walletオプションが使用されない場合にのみ適用可能です。

force_newca

これを指定すると、従前どおり古い認証局を使用するよう構成されているエージェントは無視されます。

ms_hostname

管理対象サーバーのホスト名。

sign_alg

署名アルゴリズム。

lock

アップロードをロックします。

lock_console

コンソールをロックします。

console

これを指定すると、HTTPSコンソールのポート用の証明書も再作成されます。

2.3.8.2 emctl secure agent

OMSに対してエージェントを保護します。登録パスワード(またはパスワード・ファイル)を指定する必要があります。

emctl secure agent <registration password> [-passwd_file <absolute path to file>]

2.3.8.3 emctl secure wls

emctl secure wls (-jks_loc <loc> -jks_pvtkey_alias <alias> | -wallet <loc> | -use_demo_cert)
Specify jks_loc,jks_pvtkey_alias or wallet or use_demo_cert
[-jks_pwd <pwd>] [-jks_pvtkey_pwd <pwd>]
-jks_loc : Location of JKS containing the custom cert for Admin & Managed Servers
-jks_pvtkey_alias : JKS's private key alias
-jks_pwd : JKS's keystore password
-jks_pvtkey_pwd : JKS's private key password
-wallet : Location of wallet containing the custom cert for Admin & Managed Servers
-use_demo_cert: Configure the demo cert for Admin & Managed Servers

2.3.8.4 emctl status oms -details

emctl status oms -details [-sysman_pwd <pwd>]

2.3.9 サード・パーティの証明書の構成

次に対してサード・パーティの証明書を構成できます。

- HTTPSコンソール・ユーザー

- HTTPSアップロード仮想ホスト

注意:
サポートされるのはシングル・サインオンのウォレットのみです。

2.3.9.1 HTTPSコンソール・ユーザー用のサード・パーティの証明書の構成

HTTPS WebTier仮想ホスト用のサード・パーティの証明書を構成する手順は、次のとおりです。

1. OMSごとにウォレットを作成します。OMSがインストールされているマシンのホスト名、またはロード・バランサ名(OMSがロード・バランサ内にある場合)を共通名に指定します。

2. 各OMSで次のコマンドを実行し、そのOMSを再起動します。

emctl secure console -wallet <location of custom wallets> -self_signed [-host]

注意:
引数-walletまたは-self_signedのいずれかは必須です。

注意:
サポートされるのはシングル・サインオンのウォレットのみです。

2.3.9.2 HTTPSアップロード仮想ホスト用のサード・パーティの証明書の構成

次の2種類の方法で、HTTPSアップロード仮想ホスト用のサード・パーティの証明書を構成できます。

方法1

1. OMSごとにウォレットを作成します。

2. ウォレットを作成する際に、OMSがインストールされているマシンのホスト名、またはロード・バランサ名(OMSがロード・バランサ内にある場合)を共通名に指定します。

3. 証明連鎖に含まれるすべての認証局(ルート認証局、中間認証局など)の証明書をtrusted_certs.txtという名前のファイルに記述します。

4. OMSと通信する各エージェントを実行中のホスト・マシンにtrusted_certs.txtファイルをダウンロードまたはコピーします。

5. 各エージェントでadd_trust_certコマンドを実行し、エージェントを再起動します。

emctl secure add_trust_cert -trust_certs_loc <location of the trusted_certs.txt file>

6. OMSを保護して再起動します。

emctl secure oms -wallet <location of wallet> -trust_certs_loc <loc of trusted_certs.txt> [any other options]

方法2

1. クラウド内のOMSごとにウォレットを作成します。

2. OMSがインストールされているマシンのホスト名、またはロード・バランサ名(OMSがロード・バランサ内にある場合)を共通名に指定します。

3. 証明連鎖に含まれるすべての認証局(ルート認証局、中間認証局など)の証明書をtrusted_certs.txtという名前のファイルに記述します。

4. OMSを保護した後、再起動します。

emctl secure oms -wallet <location of wallet> -trust_certs_loc <loc of trusted_certs.txt> [any other options]

5. emctl secure agentコマンドを実行(すべてのエージェントで実行)してエージェントを再度保護するか、emctl secure add_trust_cert -trust_certs_loc <trusted_certs.txtファイルの場所>コマンドを実行してトラスト・ポイントをインポートします。-trust_certs_locパラメータには、trusted_certs.txtファイルのパスとファイル名を含める必要があります。

注意:
このファイルには、Base64形式の証明書のみが含まれ、特殊文字や空の行は含まれません。

2.4 ターゲット資格証明の構成と使用

内容は次のとおりです。

- 資格証明サブシステム

- プラガブル認証モジュール(PAM)のサポート

- sudoおよびPowerbrokerのサポート

2.4.1 資格証明サブシステム

ユーザー名やパスワードなどの資格証明は、通常、データベース、アプリケーション・サーバーおよびホストなどのターゲットにアクセスする際に必要です。次のフロー・チャートは、一般的な資格証明設定ワークフローを示しています。

図2-2 資格証明設定ワークフロー

資格証明は暗号化され、Enterprise Managerに保存されます。Enterprise Manager 13c以降、基本のユーザー名/パスワード以外に、PKI、SSH鍵、Kerberosなどの強力な認証スキームが資格証明サブシステムでサポートされます。ジョブ、デプロイメント・プロシージャおよび他のEnterprise Mangerサブシステムで使用されるSSH鍵ベースのホスト認証は現在サポートされます。

適切な資格証明を使用することにより、次が可能になります。

- バックグラウンドおよびリアルタイムでのメトリックの収集

- バックアップ、パッチ適用、クローニングなどのジョブの実行

- 起動および停止などのリアルタイムのターゲット管理の実行

- My Oracle Supportへの接続

資格証明はその使用方法に基づいて、次のカテゴリに分類できます。

- 名前付き資格証明

- 特権資格証明

- 監視資格証明

- 優先資格証明

2.4.1.1 名前付き資格証明

資格証明は、Enterprise Manager内に名前付きのエンティティとして格納されます。管理者は、Enterprise Managerで資格証明を定義および格納し、資格証明名を使用して資格証明を参照します。資格証明を格納すると次のような利点があります。

- 資格証明の詳細をすべてのユーザーに公開する必要がありません。

- それぞれのOracleホームまたはホスト・マシンに対し、ユーザー名およびパスワードを毎回指定する必要がなくなり、かわりに、保存された資格証明を使用する名前付きプロファイルを選択できるので、時間と手間が省けます。

名前付き資格証明はオペレーティング・システムのログイン資格証明のようにユーザー名/パスワードのペアで指定でき、Oracleホームの所有者の資格証明は主にジョブの実行、パッチ適用およびその他の管理タスクなどの操作を実行する場合に使用されます。たとえば、管理者は、パッチの適用に使用するユーザー名とパスワードを"MyPatchingCreds"として格納できます。その後、"MyPatchingCreds"を使用するパッチ適用ジョブを発行して、本番環境のデータベースにパッチを適用できます。

2.4.1.1.1 名前付き資格証明を使用した典型的なシナリオ

- 上位のDBAのみが上位特権資格証明、データベース用のsys資格証明についての知識を持つデータ・センターでは、たとえば、これらの資格証明を名前付き資格証明に保存し、これらを下位の管理者と共有できます。下位の管理者は、実際の資格証明が何であるかは知らなくても、名前付き資格証明を使用して仕事を行うことができます。

- 複数の管理者が1つのターゲットに対して同じ資格証明を持つデータ・センター。管理者はこれらの資格証明を含む名前付き資格証明を1つ作成し、この名前付き資格証明を適切な担当者と共有できます。これにより、同じ資格証明を含む名前付き資格証明のコピーを複数作成する必要がなくなるため、資格証明の保守(パスワードの変更など)が簡単になります。

注意:
名前付き資格証明を使用したビデオ・チュートリアルの参照:
Oracle Enterprise Manager 13c: 名前付き資格証明の作成と使用

https://apex.oracle.com/pls/apex/f?p=44785:24:0::NO:24:P24_CONTENT_ID,P24_PREV_PAGE:5460,1

名前付き資格証明の適用範囲には2つのカテゴリがあります。

- グローバル名前付き資格証明
グローバル名前付き資格証明は、ターゲット・タイプに関する認証情報を含むエンティティです。グローバル名前付き資格証明は、作成時または後で、任意のEnterprise Managerターゲット・タイプに適用できます。グローバル名前付き資格証明は、資格証明タイプ(認証スキーマとも呼ばれる)と資格証明プロパティ(認証パラメータとも呼ばれる)で構成されます。

個々のターゲット・タイプは、1つ以上の資格証明タイプを持つ場合があります。

例:

hostAはパスワード・ベース(ユーザー名/パスワードが必要)およびSSHキー(公開鍵/秘密鍵のペアが必要)の資格証明タイプを持ち、データベースinstanceAはパスワード・ベースおよびKerberosベースの資格証明タイプを持ちます。

資格証明プロパティは、資格証明タイプに必要な情報で構成され、権限委任(PDP)で使用されている場合はパラメータを含むことがあります(PDPの詳細は権限委任の項で使用可能なコマンドとパラメータを参照)。

グローバル名前付き資格証明は独立したエンティティとして初期設定されるため、Enterprise Manger管理者は、このタイプの資格証明とターゲット・タイプを後で関連付けることができます。

- ターゲット名前付き資格証明
ターゲット名前付き資格証明は、特定のターゲットに適用される資格証明情報を含むエンティティです。ターゲット名前付き資格証明は、Enterprise Managerターゲットに適用でき、作成時に適用されます。このエンティティには、ターゲット・タイプに関する、資格証明タイプ(ユーザー名/パスワードまたは公開鍵/秘密鍵のペアなのかを示す)と資格証明パラメータ(PDP設定の場合は使用されるPDPユーティリティの場所、およびパラメータと実行されるコマンド)も含まれます。

2.4.1.1.2 アクセス制御

名前付き資格証明を作成するには、管理者はCREATE_CREDENTIAL権限が必要です。CREATE_CREDENTIAL権限を持つ管理者が名前付き資格証明を作成すると、その管理者はその名前付き資格証明の所有者とみなされます。名前付き資格証明の所有者は、その名前付き資格証明へのアクセスをいつでも共有できます。その管理者は、権限付与管理者とみなされます。名前付き資格証明へのアクセスが付与された管理者は、権限受領管理者とみなされます。所有者は、適切なレベルの権限を1人または多数の権限受領管理者に付与することで、名前付き資格証明へのアクセスを共有できます。名前付き資格証明の所有者によって付与された権限のタイプは、権限受領管理者が必要とするアクセス・レベルに応じて異なります。次の権限レベルがすべての名前付き資格証明に使用できます。

- VIEW: VIEW権限はデフォルトの権限レベルです。名前付き資格証明に対するVIEW権限を持つ権限受領管理者は、その名前付き資格証明を使用して、Enterprise Manager内でのジョブの実行、パッチ操作およびその他のシステム管理アクティビティを行うことができます。また、権限受領管理者は、機密ではない詳細(SUDOまたはPowerBroker、使用されているコマンドなど)および名前付き資格証明のユーザー名を表示できます権限受領管理者は、パスワードや公開鍵/秘密鍵などの名前付き資格証明の機密情報は表示できません。

- EDIT: EDIT権限レベルにはVIEWレベル権限も含まれます。名前付き資格証明に対するEDIT権限を持つ権限受領管理者は、その名前付き資格証明を使用して、Enterprise Manager内でのジョブの実行、パッチ操作およびその他のシステム管理アクティビティを行うことができます。権限受領管理者は、名前付き資格証明のパスワードや公開鍵/秘密鍵のペアなどの機密情報も変更できます。権限受領管理者は、名前付き資格証明の資格証明タイプ(ホスト、SSHキーなど)および資格証明のユーザー名の両方を変更できます。認証ターゲット・タイプは、変更できません。

- FULL: FULL権限にはVIEWとEDITの両方が含まれます。名前付き資格証明に対するFULL権限を持つ権限受領管理者は、その名前付き資格証明を使用して、Enterprise Manager内でのジョブの実行、パッチ操作およびその他のシステム管理アクティビティを行うことができます。権限受領管理者は、名前付き資格証明のユーザー名やパスワード、公開鍵/秘密鍵のペア、認証タイプ(ホスト、SSHキーなど)などの機密情報も変更できます。名前付き資格証明に対するFULL権限を持つ管理者は、その名前付き資格証明の削除もできます。

2.4.1.1.3 名前付き資格証明の作成

名前付き資格証明を作成するには、名前付き資格証明リソース権限が必要です。

名前付き資格証明の作成手順:

1. Cloud Controlで、「設定」メニューから「セキュリティ」、「名前付き資格証明」の順に選択します。

2. 「名前付き資格証明」ページで、「作成」をクリックします。

3. 「資格証明の作成」ページの「一般プロパティ」セクションに、次の詳細を指定します。

1. 一意の資格証明名入力し、説明を指定します。

2. 認証ターゲット・タイプに「ホスト」を、資格証明タイプに「ホスト資格証明」を選択します。

3. すべてのターゲットに対して同じ資格証明を使用するには「グローバル」を選択します。

4. 「資格証明の作成」ページの「資格証明プロパティ」セクションに、ホスト・マシンのアクセスに必要な「ユーザー名」および「パスワード」を入力し、「実行権限」ドロップ・ダウン・リストから、次のいずれかを実行します。

- オペレーティング・システム・ホストの資格証明(Oracleなど)またはOracleホームの所有者の資格証明を使用している場合、「なし」を選択します。

- オペレーティング・システムのホストの資格証明またはホスト・マシンのroot資格証明へのアクセス権がない場合、「Sudo」または「PowerBroker」を選択して、別のオペレーティング・システム・ユーザーの資格証明を使用して、ホスト・マシンへのSUDO (またはpbrun)を実行します。別のユーザーの資格証明を使用するには、「別名実行」フィールドに、オペレーティング・システム・ホストの資格証明(Oracleなど)またはホスト・ユーザーのOracleホームの所有者の資格証明を入力する必要があります。

5. 「資格証明の作成」ページの「アクセス制御」セクションで、「権限の追加」をクリックし、選択した管理者またはロールに名前付けプロファイルの権限を付与します。デフォルトでは、選択した管理者に表示権限が付与されます。

注意:
OMSエージェント・ファイルシステム上のソフトウェア・ライブラリの場所に管理者(またはユーザー)がアクセスして、その場所を使用できるように、名前付き資格証明の所有者は必ず、OMSエージェント上の場所にアクセスするすべての管理者に明示的な表示権限を付与する必要があります。そのためには、この項で説明しているように、名前付き資格証明の作成時に「権限の追加」をクリックして管理者の名前を追加するか、既存の名前付き資格証明を編集して、次の手順で他の管理者(またはユーザー)に権限を付与する必要があります。

1. Cloud Controlで、「設定」メニューから「セキュリティ」、「名前付き資格証明」の順に選択します。

2. 「名前付き資格証明」ページで、「アクセスの管理」をクリックします。

3. 「アクセスの管理」ページで「権限の追加」をクリックしてユーザーを追加するか、「権限の変更」をクリックして既存ユーザーの権限を編集します。

4. 「保存」をクリックします。

たとえば、CloudプラグインがインストールされていてEnterprise Managerでクラウド機能を使用している場合には、ソフトウェア・ライブラリに関連付けられた資格証明に対する「表示」権限がCLOUD_ENGINE_USERに付与されていることを確認してください。CLOUD_ENGINE_USERは表示されないユーザー・アカウントであるため、名前付き資格証明の所有者が、Enterprise Manager UIから「表示」権限を付与することはできません。これに対処するには(特に、ソフトウェア・ライブラリの設定にOMSエージェント・ファイルシステムの使用が推奨されるWindowsホストでは)、次のEMCLIコマンドを実行します。

emcli login -username=<username> -password=<password>
emcli grant_privs -name=CLOUD_ENGINE_USER -privilege="GET_CREDENTIAL;CRED_NAME=<>:CRDED_OWNER=<>"

権限を変更するには、管理者を選択し、「権限の変更」をクリックします。「権限の選択」ダイアログ・ボックスで、権限を「編集」または「完全」に変更し、「OK」をクリックします。

6. すべての詳細を入力したら、「テストと保存」をクリックします。ホストの資格証明が正しければテストは正常に終了し、資格証明は保存されます。

Enterprise Manager管理者は、資格証明の作成時または資格証明の編集時に権限を付与することで、他の管理者に権限を付与できます。

「名前付き資格証明」ページで、新規名前付き資格証明の作成、既存の資格証明の編集、アクセスの管理(権限の付与/取消し)、削除、テスト、参照の表示を行えます。また、「例による問合せ」アイコンをクリックすると、名前付き資格証明のリストを絞り込めます。

資格証明所有者のみが自分の資格証明へのアクセスを管理できます。資格証明所有者がリファレンスを表示すると、所有していないリファレンスであってもすべてを見ることができます。一方、資格証明を所有していないユーザーは自分のリファレンスのみを見ることができます。

2.4.1.1.4 名前付き資格証明のアクセス制御

注意:
名前付き資格証明を作成するには、名前付き資格証明リソース権限が必要です。

名前付き資格証明のアクセス制御モデルは、次のルールに従います。

- 名前付き資格証明の所有者のみが、自分が作成した名前付き資格証明に対する権限を他のEnterprise Manager権限受領管理者に対して付与できます。

- Enterprise Managerスーパー管理者が新たに作成された名前付き資格証明に対する権限を得るのは、その名前付き資格証明に対する権限が明示的に付与された後です。

- Enterprise Manager管理者は、権限レベルに関係なく、パスワードや秘密鍵などの機密性の高いフィールドをコンソールUIで表示できません。これは、パスワードを「*」文字に置き換えることによって行われます。

- 名前付き資格証明権限はロールに割り当てることはできません。これによって、アクセス権が明示的に付与されていない資格証明に対する権限を、Enterprise Managerスーパー管理者が自身に不正に付与できないようにします。

- Enterprise Manager権限受領管理者は、所有者によって明示的に許可されていないかぎり、他の管理者の資格証明を表示できません。デフォルトでは、Enterprise Managerスーパー管理者でさえも、他のユーザーの名前付き資格証明を表示できません。

- Enterprise Manager管理者は、自身の名前付き資格証明を作成し、デフォルトで、所有する名前付き資格証明に対してフル権限を持つことができます。

2.4.1.1.5 認証スキーム

認証スキームは、ターゲット・タイプでサポートされる認証タイプです。たとえば、ホストでは、ユーザー名/パスワード・ベースの認証、公開鍵認証、Kerberos認証がサポートされます。実際は、エンタープライズ内の各ターゲット・タイプで異なる認証スキームがサポートされる場合があります。管理対象環境で使用可能な様々な認証スキームに対応するために、Enterprise Mangerでこれらの認証スキーム用の資格証明を構成できます。

注意:
Enterprise Manager管理者が所有する資格証明は、その管理者がEnterprise Managerから削除されると、すべて削除されます。その名前付き資格証明の権限受領管理者へのすべての参照および付与も削除されます。デフォルトでは、名前付き資格証明へのアクセスはスーパー管理者には付与されないため、スーパー管理者は別の管理者が所有する名前付き資格証明を再割当てできません。

2.4.1.2 特権資格証明

特権資格証明はシステム上のrootユーザーの認証情報を指定します。特権資格証明は、rootスクリプトの実行といった特権的な処理を行うために使用するrootアカウントの詳細の資格証明です。特権資格証明は特権ユーザーまたはパワー・ユーザーのためのものです。Enterprise Manager 11gでは、プロビジョニングするユーザーごとにSUDO権限が明示的に付与されている必要がありました。一方、Enterprise Manager 13cでは、SUDO権限で通常のルート・ユーザーのアクションを実行する特権資格証明を設定する必要があります。

2.4.1.2.1 特権資格証明の作成

特権資格証明を作成するには、次の手順に従います。

1. 「名前付き資格証明の作成」で説明した手順を使用して名前付き資格証明を作成します。

2. 「名前付き資格証明」ページで、資格証明を選択してから「編集」をクリックします。

3. 「資格証明プロパティの編集」ページの「資格証明プロパティ」セクションに、ホスト・マシンのアクセスに必要な既存の「ユーザー名」および「パスワード」を編集し、「実行権限」ドロップ・ダウン・リストから、次のいずれかを実行します。

- オペレーティング・システム・ホストの資格証明(Oracleなど)またはOracleホームの所有者の資格証明を使用している場合、「なし」を選択します。

- オペレーティング・システムのホストの資格証明またはホスト・マシンのroot資格証明へのアクセス権がない場合、「Sudo」または「PowerBroker」を選択して、別のオペレーティング・システム・ユーザーの資格証明を使用して、ホスト・マシンへのsudo (またはpbrun)を実行します。別のユーザーの資格証明を使用するには、「別名実行」フィールドに、オペレーティング・システム・ホストの資格証明(Oracleなど)またはホスト・ユーザーのOracleホームの所有者の資格証明を入力する必要があります。

2.4.1.3 監視資格証明

監視資格証明は、特定のタイプのターゲットを監視する場合に管理エージェントでのみ使用されます。監視資格証明を必要とするターゲットは、コンソールに表示されます。ターゲットがEnterprise Managerに追加されると、適切な権限を持つ管理者が監視資格証明を設定します。管理者は、ターゲットを検出するためのADD_TARGET権限を持つ必要があり、そのターゲットの資格証明を入力するためにはCONFIGURE_TARGET権限が必要です。監視資格証明は、リポジトリに格納され、エージェントに伝播されます。資格証明が設定されていない場合、ターゲットは中断状態または停止状態として表示され、エージェントは資格証明なしでは監視ができなくなるため、メトリック収集エラーも表示されます。

監視資格証明を作成または編集するには、「設定」メニューで、「セキュリティ」、「監視資格証明」の順に選択します。

監視資格証明を変更するには、ターゲット・タイプを選択して「監視資格証明の管理」をクリックします。選択したターゲット・タイプの「監視資格証明」ページが表示されます。かわりに、次の例に示すようにEM CLIを使用して監視資格証明を変更できます。

./emcli set_monitoring_credential -target_name=mytarget.myco.com
-target_type=host -cred_type=HostCreds -set_name=Bob
-attributes="HostUserName:dwwolf;HostPassword:xxxxx:PDPTYPE:SUDO;RUNAS:root"

2.4.1.4 優先資格証明

優先資格証明は、これらのターゲットのログイン情報を管理リポジトリに格納し、管理対象ターゲットへのアクセスを簡略化するために使用されます。たとえば、データベース・ターゲットでは、あるユーザーが複数のログインを持っていても、特定の操作を実行するために、優先設定したユーザー名/パスワード資格証明を格納してログインする場合があります。優先資格証明を使用すると、ターゲットへのログインを求めるプロンプトが表示されずに、これらの優先資格証明を使用して自動的にログインされるため、管理者はこれらの資格証明を認識するEnterprise Managerターゲットにアクセスできます。優先資格証明は、ジョブ・システムを使用した管理操作の実行にも使用できます。ユーザー名/パスワードまたは公開鍵/秘密鍵、および名前付き資格証明所有者によって権限受領管理者に付与される資格証明タイプとオプションのパラメータを含む、独立したエンティティを定義する名前付き資格証明と異なり、優先資格証明は、より便利な方法でアクセスすることを望む、個々の管理者によって任意のターゲットに対して設定されます。

優先資格証明を作成する手順は、次のとおりです。

1. 「設定」メニューから、「セキュリティ」を選択し、「優先資格証明」を選択します。「優先資格証明」ページが表示されます。

2. リストからターゲット・タイプを選択します。

3. 「優先資格証明の管理」をクリックします。選択したターゲット・タイプの「優先資格証明」ページが表示されます。

例: Enterprise Managerターゲット所有者は、ホスト・ターゲットに対して2つの優先資格証明セット(1つはHostCredNormalと呼ばれ、もう1つはHostCredPrivと呼ばれる)を定義します。簡単な操作の場合は、HostCredNormal(oracle/oracle123など、通常のユーザー(myusername/password)を使用する)を使用します。これに対し、そのホストでより多くの権限が必要な操作の場合は、HostCredPriv(rootユーザー(root/rootpasswd)を使用する)を使用します。ジョブを発行する場合、ジョブに応じて、これらの資格証明セットのいずれかを使用できます。

- デフォルトの優先資格証明: デフォルトの優先資格証明は、特定のターゲット・タイプに構成され、そのターゲット・タイプのすべてのターゲットに使用できます。ターゲットの優先資格証明が優先されます。

- 「通常ホスト資格証明」 (例ではHostCredNormal): 通常の管理操作を実行します。

- 「特権ホスト資格証明」(例ではHostCredPriv): root権限を必要とする権限付き操作を実行します。

- ターゲット優先資格証明: ターゲット優先資格証明は、特定のターゲットに設定される資格証明セットです。ターゲット優先資格証明は、ジョブ・システム、通知、パッチ適用などのアプリケーションで使用できます。たとえば、管理者がジョブの発行時にターゲット優先資格証明を使用するように選択すると、ターゲット(ターゲット資格証明)に設定されたターゲット優先資格証明が使用されます。ターゲット優先資格証明がない場合は、デフォルトの優先資格証明が(ターゲット・タイプに対して)使用されます。デフォルトの優先資格証明がない場合、ジョブは失敗します。指定がない場合、優先資格証明は、優先ターゲット資格証明のことです。

たとえば、ホスト優先資格証明を設定するには、「設定」メニューで、「セキュリティ」、「優先資格証明」の順に選択します。「優先資格証明」ページで、表から「ホスト」ターゲット・タイプを選択し、「優先資格証明の管理」をクリックします。「ホスト優先資格証明」が表示されます。

このページで、ホスト・ターゲット・タイプのデフォルトの資格証明と明示的な優先資格証明のどちらも設定できます。

2.4.1.4.1 グローバル優先資格証明

Enterprise Managerリリース12.1.0.4以上では、優先資格証明をグローバル範囲指定することができます。グローバル優先資格証明は、管理者(必要な権限を持つ)が、これらの資格証明を特定のターゲットのすべてのユーザー、またはあるターゲット・タイプのすべてのユーザーに適用できるようにすることによって、システム全体に資格証明を実装する便利な方法を提供します。

次の図は、「ホスト優先資格証明」ページを示しています。「プリファレンス」タブでの設定は、特定のターゲットまたはターゲット・タイプに適用されるように、管理者によって設定された優先資格証明を参照します。

「グローバル・プリファレンス」タブでの設定は、特定のターゲットのすべてのユーザー、またはすべてのターゲット・タイプのすべてのユーザーに適用されるように、管理者(必要な権限を持つ)によって設定された優先資格証明を参照します。

2.4.1.4.2 必要な権限

グローバル優先資格証明を使用するには、次の権限が必要です。

- OPERATOR_ TARGET: グローバル優先資格証明の使用に必要です。

- FULL_TARGET: グローバル・プリファレンス・レベルでターゲット固有の範囲を設定するために必要です。

- FULL_ANY_TARGET: グローバル・プリファレンス・レベルでターゲット・タイプの範囲を設定するために必要です。

2.4.1.4.3 資格証明プリファレンスの階層

優先資格証明は特定の順序で解決されます。ユーザーが範囲を指定したプリファレンスは、常に優先されます。Enterprise Managerは、最初にターゲット・レベルで、そのターゲット名の優先資格証明を検索することから始めます。見つからなかった場合、次にターゲット・タイプ(デフォルト)の優先資格証明を検索します。ユーザーが範囲指定したこれらのプリファレンスが見つからなかった場合、Enterprise Managerはグローバル範囲で同様の検索(最初にターゲット名の優先資格証明を検索し、その後ターゲット・タイプ(デフォルト)の優先資格証明を検索する)を繰り返します。

Enterprise Managerには、システムで使用する優先資格証明を判断する階層を示す「資格証明階層」表が表示されます。

次の表に示すように、資格証明の検索順序は常に同じで、優先資格証明が見つかるまで続きます(1つのレベルで資格証明が見つからなかった場合、Enterprise Managerは次のレベルへ順番に移動します)。

表2-3 資格証明プリファレンスの階層

ユーザー/ターゲット

ユーザー1

ユーザー2

ユーザー3

...

すべてのユーザー

ターゲット1

ターゲット2

ターゲット3

レベル1

レベル3

.

.

.

すべてのターゲット

レベル2

レベル4

この例は、ジョブ実行中に明示的に選択されるものがなかった場合に、ジョブを完了させるために選択される優先資格証明の階層を示しています。優先資格証明が選択される順番は常に同じです。この例では、ジョブはユーザー2として実行しているとします。次の順序は、優先資格証明がそのレベルで設定されるまで常に監視されます。

- レベル1 - プリファレンス、ターゲット優先資格証明

- レベル2 - プリファレンス、デフォルト(ターゲット・タイプ)優先資格証明

- レベル3 - グローバル・プリファレンス、ターゲット優先資格証明

- レベル4 - グローバル・プリファレンス、デフォルト(ターゲット・タイプ)優先資格証明

資格証明は設定時にテスト済であることが前提です。資格証明が特定のレベルで設定されていない場合、資格証明サブシステムは資格証明が見つかるまで、レベル1からレベル4の順に確認しながら次のレベルへ移動します。最初に見つかった資格証明がジョブに使用する資格証明です。それ以降のレベルで設定された資格証明は無視されます。

ユーザー・プリファレンス(優先資格証明)が設定されている場合は、常にグローバル・プリファレンスより優先されます。

2.4.1.5 ホストおよびOracleホーム用の優先資格証明の保存

Cloud Controlで資格証明を優先資格証明として保存する場合は、次の手順に従います。

1. Cloud Controlで、「設定」メニューから「セキュリティ」、「優先資格証明」の順に選択します。「優先資格証明」ページが表示されます。

2. 「優先資格証明」ページで、ターゲット・タイプ・リストから「ホスト」または「Oracleホーム」のいずれかを選択し、「優先資格証明の管理」をクリックします。
注意: 仮想サーバー・ターゲットの優先資格証明の設定のため、ターゲット・タイプとして「Oracle VM Server」を選択し、「資格証明の設定」をクリックします。

- プロビジョニング・タスクに「ホスト」を選択すると、「ホスト優先資格証明」ページが表示されます。

- ホストの「優先資格証明」ページの「ターゲット優先資格証明」セクションで、プロビジョニングを行うホスト・ターゲットを選択し、「設定」をクリックします。

3. 「優先資格証明」ページで、表から「ホスト」または「Oracleホーム」のいずれかを選択し、「優先資格証明の管理」をクリックします。

- パッチ適用タスクに「Oracleホーム」を選択すると、Oracleホームの「優先資格証明」ページが表示されます。

- Oracleホームの「優先資格証明」ページの「ターゲット優先資格証明」セクションで、パッチを適用するOracleホームを選択します。選択したターゲットに対し通常および特権資格証明の両方が設定されていることを確認し、「設定」をクリックします。

2.4.1.6 My Oracle Supportへのアクセス用の優先資格証明の保存

Cloud ControlでMy Oracle Supportの資格証明を優先資格証明として保存する場合は、次の手順に従います。

1. Cloud Controlで、「設定」メニューから「My Oracle Support」を選択し、「資格証明の設定」をクリックします。

2. 「My Oracle Support」ページで、My Oracle Supportの資格証明を入力し、「適用」をクリックします。

Cloud ControlでMy Oracle Supportの資格証明を優先資格証明として登録して、My Oracle Supportコンソール(Cloud Controlコンソールに統合されます)にアクセスするたびに資格証明を明示的に指定する必要がないようにすることをお薦めします。

2.4.1.7 EM CLIを使用した資格証明の管理

EM CLI動詞を使用してパスワードを管理できます。EM CLIを使用して次のようなアクション実行できます。

- ターゲット・データベースとEnterprise Managerの両方でデータベース・ユーザー・パスワードを変更します。

emcli update_db_password -change_at_target=Yes|No -change_all_reference=Yes|No

- ホスト・ターゲットですでに変更されているパスワードを更新します。

emcli update_host_password -change_all_reference=Yes|No

- 指定のユーザーの優先資格証明を設定します。

emcli set_preferred_credential
-set_name="set_name"
-target_name="target_name"
-target_type="ttype"
-credential_name="cred_name"
[-credential_owner ="owner]"

および

emcli set_preferred_credential
-set_name="set_name"
-target_name="target_name"
-target_type="ttype"
-credential_name="cred_name"
[-credential_owner ="owner]"

- 特定のターゲット・タイプに優先資格証明が構成されているかどうかを判断します。

bin/emcli list -res=PreferredCredentials -bind="TargetType = 'host'

資格証明管理動詞の完全なリストは、Enterprise Managerコマンドライン・インタフェース・ガイドを参照してください。

2.4.1.8 ホスト認証機能

この項の内容は、次のとおりです。

- SSH鍵ベースのホスト認証の設定

- 設定サンプル・セッション

- SSHキー資格証明を使用したホスト優先資格証明の設定

- SSHキー資格証明を使用したホスト優先資格証明の設定(12.1.0.4より前)

- ホスト資格証明の認証

- PAM「emagent」サービスの構成

- sudoおよびPowerBrokerのサポート

- 権限委譲設定の作成

2.4.1.8.1 SSH鍵ベースのホスト認証の設定

Secure Shell (SSH)では、セキュアなチャネルを使用してネットワーク越しに2つのデバイス間でデータを交換できます。SSHは主にLinuxまたはUNIXシステムで使用されます。SSHは、情報(特にパスワード)が平文で送信されるため、盗聴の可能性のあるFTP、telnetやその他のセキュアでないリモート・シェルに代わるものとして設計されました。SSHで使用される暗号化によって、セキュアでないネットワークでの機密保護とデータの完全性が実現されます。SSHは、DNSスプーフィング攻撃からもシステムを保護します。このため、本番環境には、telnet、FTPやその他のユーザー名/パスワード・ベースの認証よりもSSHの方が適しています。

管理操作の実行時、SSHを使用するようにEnterprise Managerを構成し、Enterprise Manager管理者が、SSHによって提供されるセキュリティ機能とEnterprise Managerの管理機能の両方を利用できるようにすることができます。このモードの認証時、エージェントはJava SSHクライアントとして機能し、資格証明に指定されているユーザー名/パスワードを使用してホストに接続します。

Enterprise Managerで管理者の公開鍵と秘密鍵のペアを格納でき、管理者は、公開鍵をホストで表示およびインストールできます。管理者は、操作を実行するために秘密鍵を参照する資格証明を指定したジョブやパッチ適用操作を発行できます。OMSは、コマンド、コマンド・パラメータとともに秘密鍵をエージェントに渡します。エージェントはJava SSHクライアントを起動し、秘密鍵を使用してホストに接続を試みます。ホストにはすでに公開鍵がインストールされているため、秘密鍵が識別され、エージェントのJava SSHクライアントが正常に認証されます。これで、エージェントは、SSHクライアントを介してホストでコマンドを実行し、リクエストされた操作を行うことできます。通信に使用するユーザー名はホストとOMSの両方で有効なOSユーザーである必要があります。これは名前付き資格証明で使用されるユーザー名であって、操作を起動する管理者のユーザー名ではありません。

注意:
Enterprise Manager Grid Controlリリース12.1.0.3以前の場合、権限委任ありでSSH資格証明を使用するには、次のパラメータと値をemd.propertiesファイルに追加する必要があります。
EMPDP_PASSWORD_PROMPT_SUDO=FALSE

リリース12.1.0.4以降、これは自動的に処理されます。

2.4.1.8.2 設定サンプル・セッション

SSH認証鍵の生成、管理または変換を行うには、UNIXシステムで使用可能なSSH-keygenユーティリティを使用します。このSSH-keygenユーティリティ・ツールには、異なる強度で鍵を作成(SSHプロトコル・バージョン1の場合はRSA鍵を、SSHプロトコル・バージョン2による使用の場合はRSA鍵またはDSA鍵を作成)する様々なオプションが用意されています。

注意:
この例に示す手順では、SSHの設定手順およびSSHを使用する公開鍵と秘密鍵のペアを介したユーザーとホストの等価についてきちんと理解しているものとします。

例2-11 SSH鍵ベースの認証の設定

$ ssh-keygen -t rsa

コマンド・オプションによって、SSH鍵(RSA鍵のペア)を生成するようユーティリティに指示されます。

Generating public/private rsa key pair.
Enter file in which to save the key (/home/myhome/.ssh/id_rsa):

指定されるパスは、SSH鍵が格納される場所の標準のパス($HOME/.ssh)です。

Enter passphrase (empty for no passphrase)

重要: パスフレーズでは名前付き資格証明のSSHキーとの使用はサポートされません。

Enter same passphrase again: (empty for no passphrase)
Your identification has been saved in /home/admin1/.ssh/id_rsa.
Your public key has been saved in /home/admin1/.ssh/id_rsa.pub.
The key fingerprint is:
bb:da:59:7a:fc:24:c6:9a:ee:dd:af:da:1b:1b:ed:7f admin1@myhost2170474

これで、ssh-regkeyユーティリティによって、2つのファイルが.sshディレクトリに生成されました。

$ ls  id_rsa  id_rsa.pub

パスワードを求めるSSHプロンプトなしでホストにアクセスできるようにするには、公開鍵をそのシステムのauthorized_keysファイルにコピーします。

$ cp id_rsa.pub  authorized_keys

これ以降、そのファイルにリストされているすべての鍵はアクセスが許可されます。

次に、SSHを使用してリモート・ログオンを行います。システムからパスワードを要求されません。

$ ssh myhost
The authenticity of host 'myhost (10.229.147.184)' can't be established.
RSA key fingerprint is de:a0:2a:d5:23:f0:8a:72:98:74:2c:6f:bf:ad:5b:2b.
Are you sure you want to continue connecting (yes/no)? yes
Warning: Permanently added 'myhost,10.229.147.184' (RSA) to the list of known hosts.
Last login: Mon Aug 29 16:48:45 2012 from anotherhost.example.com
$

これで、資格証明をEnterprise Managerに追加する準備ができました。

1. 「設定」メニューから、「セキュリティ」、「名前付き資格証明」の順に選択します。

2. 「名前付き資格証明」ページで、「作成」をクリックします。資格証明の作成ページが表示されます。

3. 「資格証明名」を入力します。たとえば、SSHCRED1などです。
注意: SSHCRED1資格証明セットは第2.4.1.8.4項「SSHキー資格証明を使用したホスト優先資格証明の設定(12.1.0.4より前)」で使用します。

4. 「認証ターゲット・タイプ」ドロップダウン・メニューから「ホスト」を選択します。

5. 「資格証明のタイプ」ドロップダウン・メニューからSSHキー資格証明を選択します。

6. SSH秘密鍵と公開鍵のファイルが、ブラウザが実行されているホストにコピーされていることを確認します。このようにすることで、次の手順で「参照」をクリックする場合に、コンソール内からのファイルへの移動が便利になります。

7. 「資格証明プロパティ」リージョンで、「ユーザー名」を入力します。このユーザー名は、ホストとOMSに存在する有効なOSユーザーです。

8. 「資格証明プロパティ」リージョンで公開鍵と秘密鍵の「参照」をクリックし、生成された公開鍵と秘密鍵のファイルをアップロードします。

9. 「テストと保存」をクリックして資格証明を確認し、保存します。新しい名前付き資格証明が表示されます。

注意:
インストラクション・ビデオを見るには、次のサイトのOracle Enterprise Manager 13c: SSHキー名前付き資格証明の作成を参照してください。

https://apex.oracle.com/pls/apex/f?p=44785:24:0::NO:24:P24_CONTENT_ID,P24_PREV_PAGE:5724,1

2.4.1.8.3 SSHキー資格証明を使用したホスト優先資格証明の設定

Enterprise Managerは、優先資格証明として使用できる、SSHキー資格証明の使用をデフォルトでサポート(12.1.0.4)しています。SSHキー資格証明セットは、エージェント・ターゲットの認証に使用されます。SSHキー資格証明セットの導入は、ユーザー名とパスワードの資格証明が不明な場合や代替のキュリティ・オプションを考えている場合に役立ちます。SSHキーは、潜在的にセキュアでないネットワークであってもデータの高い機密性と整合性が提供される、暗号化メソッドを使用しています。このサポートをデフォルトで提供することで、管理者はカスタムSSHキー資格証明を作成する必要がなくなり、使用が容易になります。

注意:
SSH資格証明はWindowsオペレーティング・システムに対してサポートされていません。

SSH資格証明を優先資格証明に設定するには、次の手順を実行します。

1. 「設定」メニューから、「セキュリティ」を選択し、「優先資格証明」を選択します。

2. ターゲット・タイプに「エージェント」または「ホスト」を選択し、「優先資格証明の管理」をクリックします。
エージェントの優先資格証明の設定ページが表示されます。詳細は、「優先資格証明」を参照してください。

このページは、デフォルトで管理者が最後に参照したページになります。優先資格証明を設定するには、次に示すように、「プリファレンス」タブをクリックします。

3. 「デフォルトの優先資格証明」リージョン(このリージョンでは選択したターゲット・タイプのすべてのターゲットに対して優先資格証明を設定する)の下では、エージェント・ターゲット・タイプが選択されていました。前述の図を参照してください。
「ホスト資格証明」を選択して「設定」をクリックします。

ダイアログが表示され、このエージェント・ターゲット・タイプに適した使用可能な名前付き資格証明の現在の選択がリストされます。この管理者の場合、「SSH資格証明」を選択して、「保存」をクリックします。

「デフォルトの優先資格証明」には、この管理者のすべてのホスト・ターゲット・タイプに使用される資格証明が表示されます。次の図は、「資格証明セット」がホスト資格証明であり、「ターゲット・ユーザー名」がtestであることを示しています(これは名前付き資格証明でOSユーザーが使用されることを示します)。

この設定は、この管理者では、すべてのエージェント接続は、すべてのエージェントで認証するために、この資格証明セットを使用することを意味します。

2.4.1.8.4 SSHキー資格証明を使用したホスト優先資格証明の設定(12.1.0.4より前)

注意:
次に説明する方法は、Enterprise Managerの12.1.0.4より前のバージョンで使用するための回避策です。

HostSSHCreds資格証明タイプを使用する新しい資格証明を作成することで、SSHキーを使用するホスト優先資格証明を設定できます。次にEnterprise Manager管理者はこの資格証明セットを使用する優先資格証明を設定します。各Enterprise Managerターゲット・タイプは、事前定義済の資格証明タイプの1つ以上の優先資格証明セットを持つことができます。

次の手順は、EM CLIを使用して、SSHキー資格証明をサポートするホスト優先資格証明セットを作成します。この例では、前の項で作成したタイプSSHキー資格証明の名前付き資格証明SSHCRED1があると仮定しています。

1. Enterprise Managerスーパー管理者としてEM CLIにログインします。

2. タイプHostSSHCredsの新しい資格証明セットを作成します。

$ emcli create_credential_set -set_name=HostSSHCredSet -target_type=host -supported_cred_types=HostSSHCreds

Credential set "HostSSHCredSet" created successfully.

資格証明セットが作成されると、Enterprise Manger管理者はEM CLIまたはEnterprise Manager consoleコンソールのいずれかを使用して、この新しく作成された資格証明セットの優先資格証明を設定できます。

3. 新しく作成された資格証明セットの優先資格証明を設定します。EM CLIまたはEnterprise Managerコンソールを使用できます。次のEM CLIの例では、タイプSSHキー資格証明の名前付き資格証明SSHCRED1はすでに作成されていると改定しています。

$ emcli set_preferred_credential -target_type=host -target_name=myhost.mycompany.com -set_name=HostSSHCredSet -credential_name=SSHCRED1

Successfully set preferred credentials for target myhost.mycompany.com:host.

資格証明セットが作成され、優先資格証明が設定されていると、HostSSHCredSet資格証明セットがなんらかのEnterprise Manager操作で使用されるたびに、その操作は名前付き資格証明SSHCRED1で定義されているSSH資格証明を使用します。次の図に、ホスト・ターゲットのデフォルトの優先資格証明としてリストされたHostSSHCredSet資格証明セットを示します。

管理者を編集および作成し、名前付き資格証明リソース権限を付与することで、SSHCRED1名前付き資格証明を使用する通常のEnterprise Manager管理者の優先資格証明を設定できるようになります。

2.4.1.8.5 ホスト資格証明の認証

Enterprise Managerエージェントでは、OS資格証明の認証に次の2つの方法を使用できます。

- 従来の認証

- PAM認証

従来の認証では、ユーザーが提出した資格証明は、システムのパスワード・データベース、つまり、/etc/passwdと関連ファイルにあるエントリ、および/etc/nsswitch.confまたは/etc/netsvc.confなどのOS特有の構成によって定義されたファイルへのリモート拡張にあるエントリと比較されます。

PAM認証では、エージェントはPAM(プラガブル認証モジュール)と呼ばれるオペレーティング・システムの機能を使用して、ユーザーが提出した資格証明を検証します。PAMは、様々な認証メカニズム(LDAP、Kerberos、RADIUSなど)のうち、PAM認識アプリケーションが使用すべきメカニズムを管理者が指定できるフレームワークです。アプリケーションは、サービス名を使用してPAMに対して自身を識別します。管理者がそのサービス名に対するPAM定義を構成している場合には、その定義内のルールがアプリケーションの認証リクエストに適用されます。構成していない場合には、特別なデフォルト・サービス名「その他」に対するルールが使用されます。

Enterprise Managerエージェントは、サービス名「emagent」を使用してPAMに対して自身を識別します。管理者が明示的に「emagent」PAMサービスを定義している場合、エージェントはPAM認証のみを試行します(「emagent」サービスに対して定義された方法が資格証明のセットを受け付けない場合には、これらの資格証明に関連付けられた操作は失敗となります)。

管理者が明示的に「emagent」PAMサービスを定義していない場合、エージェントはまず従来の認証を試行します。この試行が失敗の場合、「その他」サービス定義を使用してPAM認証を試行します。従来の認証またはPAM認証のどちらかが成功する場合には、その資格証明に関連付けられた操作が続行します。

2.4.1.8.6 PAM「emagent」サービスの構成

PAMは複雑で制限のないフレームワークですが、この構成方法の一般的なアドバイスはこのドキュメントでは割愛します。ただし通常、PAMを使用してEnterprise Managerにホスト資格証明を認証させたい顧客は、同じPAMルールを使用するように定義されたその他のサービスをすでに持っており、このその他のサービスの定義でemagentサービスの基本を形成できます。

たとえば、顧客のOracle Enterprise Linuxホストは、接続を受け付ける際にSSHデーモンがKerberosとローカル認証の組み合せを使用するようにすでに構成されているとします。SSHDサービス定義ファイル/etc/pam.d/sshdには、次のセットの認証ルールがある場合があります。

auth        sufficient    pam_fprintd.so
auth        sufficient    pam_unix.so nullok
auth        requisite     pam_succeed_if.so uid >= 500 quiet
auth        sufficient    pam_krb5.so use_first_pass
auth        required      pam_deny.so

ここで、顧客にホストに取り付けられた指紋スキャナへのアクセス権がある場合、それに基づいて認証します。指紋認証が動作しない場合は、従来の認証を試行します。これに失敗し、さらにユーザーのUIDが500以上の場合、kerberos認証を試行します。これも失敗する場合には、認証全体が失敗となります。

Enterprise Managerは、ジョブの実行または認証済メトリックの収集の必要があるときに、通常ユーザーの指へのアクセスがないため、顧客はEnterprise Managerが指紋スキャナ・チェック以外の、同じ認証プロセスをするように決断します。そのため、新しいサービス定義ファイル/etc/pam.d/emagentを作成し、pam_fprintd.soの行を除く前述のSSHD定義にあるものと同じ「auth」行を含めます。

auth        sufficient    pam_unix.so nullok
auth        requisite     pam_succeed_if.so uid >= 500 quiet
auth        sufficient    pam_krb5.so use_first_pass
auth        required      pam_deny.so

使用される認証方法の詳細は、顧客により異なり、実際の構成方法はプラットフォームにより異なります。ただし、エージェントPAMサービス定義を定義するこの一般的なアプローチ(使用する既存のサービスをベースとして識別し、このサービスの定義をコピーし、Enterprise Managerの使用に当てはまらないルールを削除すること)は、多くの場合に役立ちます。

2.4.1.8.7 sudoおよびPowerBrokerのサポート

権限委任(PDP)を使用すると、管理者は別のユーザーの権限を使用して権限アクティビティを実行できます。Enterprise Managerは、SudoとPowerBrokerという2つの認証ユーティリティ・ツールを使用して権限委任を行います。

Sudo: Sudoを使用すると、許可されたユーザーはスーパーユーザーまたはsudoersファイルに指定されている別のユーザーとしてコマンドを実行できます。コマンド起動元のユーザーがrootである、またはターゲット・ユーザーがコマンド起動元のユーザーと同じ場合は、パスワードが不要です。そうでない場合はデフォルト時、ユーザーはパスワードを使用して自分自身の認証を実行する必要があります。ユーザーが認証されると、タイムスタンプが更新され、ユーザーはパスワードなしで短期間(sudoersファイル内で上書きされないかぎり5分間)Sudoを使用できます。Sudoは、/etc/sudoersファイルを確認して、許可されているユーザーを特定します。詳細は、UNIXでSudoのマニュアル・ページ(man sudo)を参照してください。Enterprise Managerでは、sudoを使用してユーザーを認証し、sudoとしてスクリプトを実行します。たとえば、実行されるコマンドがfoo -arg1 -arg2の場合、sudo -S foo -arg1 -arg2として実行されます。

注意:
動作保証されているSUDOバージョンは1.6.7から1.6.9です。また、SUDO 1.7.2以降のバージョンもサポートされていることにも注意してください。動作保証されているPBRUNバージョンは4.0.8および5.xです。これらのユーティリティのそれ以降のバージョンは、根本的な変更がその動作に導入されないかぎり、引き続き動作する可能性があります。

PowerBroker: BeyondTrust PowerBrokerの場合、UNIXのシステム管理者は、root(または他の重要なアカウント)などの他のユーザーが特定のプログラムを実行できる環境を指定できます。そのため、ユーザー・アカウントの追加やライン・プリンタ・キューの固定といったアクションの担当を、rootのパスワードを公開することなく、適切な要員に安全に割り当てることができます。その結果、rootの権限全体を、データベースやファイルの権限の変更、ディスクの消去、またはより捉えにくい破損といった誤用や乱用から保護できます。BeyondTrust PowerBrokerは、一般的なシステム管理タスクを実行する既存のプログラムや、その独自のユーティリティ・セットにアクセスできます。BeyondTrust PowerBroker上で動作するように開発されているユーティリティでは、パスワード、アカウント、バックアップ、ライン・プリンタ、ファイルの所有権や削除、再起動、ユーザーのログアウト、ユーザー・プログラムの中断、どのユーザーがどこからどこにログインが許可されているかのチェックなどを管理できます。また、TCP/IP、ロード・バランサ、cron、NIS、NFS、FTP、rlogin、アカウンティング・サブシステムの管理も提供できます。ユーザーは、制限付きのシェルやエディタを使用し、rootとして特定のプログラムやファイルにアクセスできます。設定および構成の詳細は、PowerBrokerに関するドキュメントを参照してください。

注意:
PowerBroker 7.1.1はテスト済で、推奨の最小バージョンです。

Enterprise Managerの権限委任は、これらのツール(SudoとPowerBroker)を名前付き資格証明とともに使用して、管理者が権限アクティビティを実行できるフレームワークを提供します。

組織内には、管理者が特定のタスクを実行するために昇格権限を持つ必要のある、多くの操作が存在します。たとえば、Cloud Controlでのすべてのプロビジョニングおよびパッチ適用タスクでは、オペレーティング・システムの通常のユーザー・アカウント(oracle)用に名前付き資格証明が設定されている必要があり、特権ユーザー・アカウント(root)用にも名前付き資格証明が設定されている必要があります。これらのアカウントのどちらにもアクセスを持っていない場合、SUDOまたはPowerBrokerアクセスを使用して、タスクを実行するユーザーを切り替えることができます。権限

委任には次の利点があります。

- 同じフレームワーク内でSUDOまたはPowerBrokerのいずれかを使用する柔軟性があります。

- フレームワークを使用して、PowerBrokerをパスワードレスまたはパスワード保護モードで実行できます。

- これらの権限委任設定を使用してテンプレートを作成し、そのテンプレートを複数のホストで再利用できます。これにより、エンタープライズ全体で権限委任設定を標準化できるだけでなく、権限委任設定の構成と管理のプロセスも促進および簡略化できます。

- 権限委任設定はデプロイメント・プロシージャに対してのみでなく、Cloud Controlのジョブに対しても使用できます。

次の例では、権限委任プロセスにおける異なるユーザーを説明しています。

例: 次の3つのユーザーを考えます。

ユーザー1: EMUSERと呼ばれ、Cloud ControlまたはEM CLIにログインしたEnterprise Manager管理者です。

ユーザー2: OSUSER1と呼ばれ、ターゲット・ホストOSのユーザーです。

ユーザー3: OSUSER2と呼ばれ、ターゲット・ホストOSのユーザーです。

EMUSERは、OSUSER1に対して名前付き資格証明を持っています。ここでは、Sudoは構成されています。名前付き資格証明はOSUSER2として実行されます。

権限委任の内部手順は次のようになります。

1. OSUSER1としてシステムにログインします。

2. OSUSER1のパスワードを使用して認証します。

3. sudoを起動してOSUSER2になります。

4. 指定したコマンドをOSUSER2として実行します。

指定したコマンドが実行されている場合は、そのコマンドは、OSUSER2がログインしたかのように実行されます。たとえば、idコマンドが実行している場合には、OSUSER2として表示されます。

2.4.1.8.8 認証ユーティリティ・ツールの構成

Enterprise Managerでサポートされている認証ツールはsudoとpbrunです。これらのツールは、管理エージェントとともにターゲット・ホスト内に存在しており、正しく操作を行う前に、適切に構成されている必要があります。次の各項では、これらのツールおよび関連する構成ファイルについて説明します。

管理者は、sudoまたはpbrunの構成ファイル・エントリに基づいて、sudoまたはpbrunを設定し、Enterprise Managerの特定機能の権限をそのOSユーザーに割り当てることができます。管理エージェントは、nmosudoという信頼できる実行可能ファイルを使用します(nmosudo実行可能ファイルを使用することで、このエージェントは暗号ハンドシェイクを介してリクエスト元を検証できます)。これにより、sudoまたはpbrunの構成ファイルに基づいて、権限の低いユーザーが権限の高いユーザーとしてnmosudoを実行できるようになります。

Enterprise Managerにより、実行可能ファイルnmosudoは、OMSからエージェントを介したリモート操作実行要求のみを受け取ることが保証されます。nmosudoは、要求がエージェントからのものであることを検証できないと、該当するリモート操作を実行しません。そのため、ユーザーjohndoeがnmosudoをコマンドラインから直接起動し、ユーザーoracleとしてPerlスクリプトを実行することはできません。

Enterprise Manager Cloud Control 12cリリース1 (12.1.0.1) [バンドル・パッチ1ありまたはなし]では、nmosudoはエージェント・インスタンス・ディレクトリにありました。たとえば、/u01/oracle/agent/agent_inst/bin/nmosudoです。

Enterprise Manager Cloud Control 12cリリース2 (12.1.0.2)と後続のリリースでは、この場所が変更されました。現在は、nmosudoはエージェントのベース・ディレクトリ内のsbinディレクトリにあります。たとえば、/u01/oracle/agent/sbin/nmosudoなどです。

したがって、Enterprise Manager Cloud Control 12cリリース2 (12.1.0.2)をインストール、またはアップグレードする場合、nmosudoの新しい場所を含めるようにPDP構成ファイルを変更する必要があります。

2.4.1.8.9 Sudo構成

注意:
動作保証されているSUDOバージョンは1.6.7から1.6.9です。また、SUDO 1.7.2以降のバージョンもサポートされていることにも注意してください。
詳細は、UNIXでsudoのマニュアル・ページ(man sudo)を参照してください。

sudo構成ファイル(/etc/sudoers)のエントリ例は次のとおりです。このファイルの一般的な書式は次のとおりです。

root ALL=(ALL) ALL

これは、rootユーザーは、すべてのユーザーとして、すべての端末からすべてのコマンドを実行できることを意味しています。

サンプル1

# Sample /etc/sudoers file should have following entry
# If you do not have access to oracle and root accounts,
# then add the following entries into the file:
#usage:
#[user] [terminal]=[as other user] [command]

#where: user =  the user
terminal =  terminal from where user can run sudo #    cmd
#  as other user = which user the first user may act #    as
#  command = which commands can be run which using #    sudo

johndoe ALL=(oracle) /u01/oracle/agent/sbin/nmosudo *
johndoe ALL=(root) /u01/oracle/agent/sbin/nmosudo *

#Where, the user johndoe can access sudo from any terminal #to run as oracle the nmosudo executable with all commands, #passed from the console.

サンプル2

# If you have access to the oracle account,
# but not to the root account,
# then only add the following entry into the file:
johndoe ALL=(root) /u01/oracle/agent/sbin/nmosudo  *

#Where, the user johndoe can access sudo from any terminal #to run as root the nmosudo executable with all commands, #passed from the console.

注意:
この例では、ユーザーがコマンドのサブセットのみを制限できるようにSUDOERSファイルを構成する方法を示しています。
SUDOを使用してEnterprise Managerを通じて実行されるすべてのコマンドには、次の接頭辞が付きます。

<AGENT_HOME>/sbin/nmosudo DEFAULT_PLGUIN DEFAULT_FUNCTIONALITY DEFAULT_SUBACTION DEFAULT_ ACTION <Command-to-executed-with-args>

これを使用して、ユーザーに使用させたいコマンドのリストを制限することができます。

たとえば、johndoeがrootとしてroot.shのみ実行できる場合は、次の文字列をSUDOERSファイルに追加できます。

johndoe ALL=(root) <AGENT_HOME>/sbin/nmosudo DEFAULT_PLUGIN DEFAULT_FUNCTIONALITY DEFAULT_SUBACTION DEFAULT_ACTION root.sh

サンプル3

ALL=(ALL)/u01/oracle/agent/sbin/nmosudo DEFAULT_PLUGIN DEFAULT_FUNCTIONALITY DEFAULT_SUBACTION DEFAULT_ACTION perl -e exit 0,/u01/oracle/agent/sbin/nmosudo DEFAULT_PLUGIN DEFAULT_FUNCTIONALITY DEFAULT_SUBACTION DEFAULT_ACTION id

This example allows the user to perform a basic PERL test, and run only id command.

2.4.1.8.10 Powerbroker構成

BeyondTrust PowerBrokerの場合、UNIXのシステム管理者は、root (または他の重要なアカウント)として特定のプログラムを他のユーザーが実行できる環境を指定できます。そのため、ユーザー・アカウントの追加やライン・プリンタ・キューの固定といったアクションの担当を、rootのパスワードを公開することなく、適切な要員に安全に割り当てることができます。その結果、rootの権限全体を、データベースやファイルの権限の変更、ディスクの消去、またはより捉えにくい破損といった誤用や乱用から保護できます。BeyondTrust PowerBrokerは、一般的なシステム管理タスクを実行する既存のプログラムや、その独自のユーティリティ・セットにアクセスできます。BeyondTrust PowerBroker上で動作するように開発されているユーティリティでは、パスワード、アカウント、バックアップ、ライン・プリンタ、ファイルの所有権や削除、再起動、ユーザーのログアウト、ユーザー・プログラムの中断、どのユーザーがどこからどこにログインが許可されているかのチェックなどを管理できます。また、TCP/IP、ロード・バランサ、cron、NIS、NFS、FTP、rlogin、アカウンティング・サブシステムの管理も提供できます。ユーザーは、制限付きのシェルやエディタを使用し、rootとして特定のプログラムやファイルにアクセスできます。設定および構成の詳細は、PowerBrokerに関するドキュメントを参照してください。

注意:
PowerBroker 7.1.1はテスト済で、推奨の最小バージョンです。

PBRUN認証ユーティリティを使用する場合、デプロイメント・プロシージャを編集する前に、/etc/pb.confファイルを更新して、通常ユーザーがデプロイメント・プロシージャを実行する権限を持つ別のユーザーに切り替えられるようにします。PowerBrokerのサンプル構成ファイル(/etc/pb.conf)には、次のサンプルが含まれています。

サンプル:

if(user=="johndoe") if(command=="/u01/oracle/agent/sbin/nmosudo *" )
// /u01/oracle/agent/ Agent Home location

{
switch (requestuser)
{
case "root":
runuser="root";
break;
case "oracle":
runuser="oracle";
break;
default:
reject;
}
accept;
}

前述の例を使用すると、ユーザーjohndoeは、nmosudoを介してコンソールから渡されるすべてのコマンドをrootおよびoracleとして実行できます。構成の詳細は、sudoまたはPowerBrokerに関するドキュメントを参照してください。

2.4.1.8.11 権限委任設定の作成に必要な権限

Enterprise Managerでは、ホスト・ターゲット上で設定を直接作成するか、複数のホストに適用可能な権限委任設定テンプレートを作成することにより、権限委任設定を作成できます。

- VIEW: これらのホスト・ターゲットに対する表示権限を持っている管理者は、その権限委任設定を表示できます。

- FULL: ホスト・ターゲットに対するFULL権限を持っている管理者は、そのホストに対する権限委任設定を作成できます。

Enterprise Managerスーパー管理者は、どのホスト・ターゲットに対する権限委任設定でも構成できます。

2.4.1.8.12 権限委任の作成

次の方法を使用して、権限委任の使用を起動できます。

- Cloud Controlコンソール

- EM CLI

- 権限委任テンプレート

権限委任テンプレート: Enterprise Managerでは、デフォルトの権限委任テンプレートの設定およびテンプレートの複数ホストへの適用もできます。これにより、特に同じ権限委任設定がすべてのホスト・ターゲットに適用されている場合に、管理者はホストごとに権限委任設定を適用する必要がなくなります。この機能は、多くのホスト・ターゲットがEnterprise Managerに同時に追加される場合に特に便利です。この機能は、set_default_privilege_delegation_setting動詞を使用することによって、EM CLIで使用することも可能です。

Cloud Controlからの権限委任の設定

Cloud Controlコンソールから権限委任を設定する手順は、次のとおりです。

1. 「設定」メニューから、「セキュリティ」、「権限委任」の順に選択します。

2. 「権限委任設定の管理」ページで、ホスト名を選択してから「編集」をクリックします。ホスト権限委任の編集ダイアログが表示されます。

3. 「Sudo」または「PowerBroker」を選択し、SUDOまたはPowerBrokerが配置された場所(PowerBrokerの場合、オプションでパスワード・プロンプトを指定できます)を指定して、権限委任設定を使用したホストの構成を行います。

4. 「保存」をクリックします。

2.4.1.8.13 Cloud Controlからの権限委任テンプレートの設定

権限委任設定は、ホスト単位で適用することも、同時に複数のホストに適用することもできます。Enterprise Managerでは、権限委任の設定を複数のホストに適用するデフォルトの権限委任テンプレートを定義できます。テンプレートは、多くのホスト・ターゲットがEnterprise Managerに同時に追加される場合に特に便利です。この機能は、EM CLIを介してset_default_privilege_delegation_setting動詞を使用して利用することも可能です。詳細は、「EM CLIを介した権限委任の設定」を参照してください。

1. Cloud Controlで、「設定」メニューから「セキュリティ」、「権限委任」の順に選択します。「権限委任の管理」ページが表示されます。

2. 「テンプレート」タブをクリックして、権限委任の管理テンプレート・ページを表示します。

3. 「作成」をクリックします。「テンプレートの作成」ダイアログが表示されます。

4. 権限委任タイプ(SudoまたはPowerBroker)を選択します。

5. テンプレートの名前を入力し、SUDOまたはPowerBrokerが配置された場所(PowerBrokerの場合、オプションでパスワード・プロンプトを指定できます)を指定して、「保存」をクリックします。

たとえば、SUDOを選択し、sudoが/usr/sbin/ディレクトリに配置されている場合、「sudoコマンド」フィールドに/usr/sbin/sudo -E -u %RUNAS% %COMMAND%と入力する必要があります。

注意:
権限委任テンプレートをターゲットに適用しない場合、およびデプロイメント・プロシージャの手順を権限委任モードで実行するように構成する場合、そのターゲット用のデプロイメント・プロシージャはその手順を通常モードで実行します。

権限委任設定を作成したら、選択したターゲットにこの設定を適用する必要があります。この設定はもう1つのホストやコンポジット(グループ)・ターゲットに適用できます(グループには少なくとも1つのホスト・ターゲットが含まれている必要があります)。Cloud Controlコンソールを使用して、権限委任設定を適用できます。「設定」メニューで、「セキュリティ」、「権限委任」の順に選択します。

2.4.1.8.14 EM CLIを介した権限委任の設定

次の例では、sudo_settingという名前の設定を作成します。設定のタイプはSUDOで、使用するsudoパスは/usr/local/bin/sudoです。sudo引数は次のとおりです。

-S-u %RUNAS%%COMMAND%

例1: コマンドライン

emcli create_privilege_delegation_setting
-setting_name=sudo_setting
-setting_type=SUDO
-settings="SETTINGS:/usr/local/bin/sudo -S -u %RUNAS% %COMMAND%"

例2 - スクリプトおよび対話形式

create_privilege_delegation_setting
(setting_name="sudo_setting",
setting_type="SUDO",
settings="SETTINGS:/usr/local/bin/sudo -S -u %RUNAS% %COMMAND%")

次の例では、pb_settingという名前の設定を作成します。設定のタイプはPOWERBROKERで、使用するPowerBrokerパスは/etc/pbrunです。引数は次のとおりです。

%RUNAS%%PROFILE%%COMMAND%

例3: コマンドライン

emcli create_privilege_delegation_setting
-setting_name="pb_setting"
-setting_type="POWERBROKER"
-settings="SETTINGS,/etc/pbrun %RUNAS% %PROFILE% %COMMAND%"
-separator="settings=;"
-subseparator="settings=,"

例4 - スクリプトおよび対話形式

create_privilege_delegation_setting
(setting_name=pb_setting
,setting_type=POWERBROKER
,settings="SETTINGS,/etc/pbrun %RUNAS% %PROFILE% %COMMAND%"
,separator="settings=;"
,subseparator="settings=,")

次の例は、例3および4に似ていますが、さらにPASSWORD_PROMPT_STRINGとパスワードも追加しています。

例5: コマンドライン

emcli create_privilege_delegation_setting
-setting_name="pb_setting"
-setting_type="POWERBROKER"
-settings="SETTINGS,/etc/pbrun %RUNAS% %PROFILE% %COMMAND%";
PASSWORD_PROMPT_STRING,password:"
-separator="settings=;"
-subseparator="settings=,"

例6 - スクリプトおよび対話形式

create_privilege_delegation_setting
(setting_name=pb_setting
,setting_type=POWERBROKER
,settings="SETTINGS,/etc/pbrun %RUNAS% %PROFILE% %COMMAND%";
PASSWORD_PROMPT_STRING,password:"
,separator="settings=;"
,subseparator="settings=,")

2.4.1.8.15 権限委任設定のテスト

権限委任テンプレートの作成後、デプロイメント・プロシージャの適用前に、権限委任設定をテストすることをお薦めします。

次の例で、資格証明を優先資格証明として登録し、さらに別のユーザーとして実行するように選択し、コマンドが通常ユーザーとして、または権限委任メカニズムを使用して別のユーザーとして実行されているかをチェックするジョブを作成することで設定をテストできる方法を説明します。

1. Cloud Controlで、「設定」メニューから「セキュリティ」、「優先資格証明」の順に選択します。「優先資格証明」ページが表示されます。

2. 権限委任設定の管理ページの「関連リンク」セクションで「優先資格証明」をクリックします。

3. 「ターゲット・タイプ」リストから「ホスト」を選択し、「優先資格証明の管理」をクリックします。「ホスト優先資格証明」ページが表示されます。

4. 「ターゲット優先資格証明」リージョンから「ホスト」を選択し、「設定」をクリックします。

5. 「名前付き資格証明の選択」ダイアログ・ボックスで、通常ユーザー名、通常パスワード、および権限委任メカニズムを使用して切り替えたいユーザー名として「実行」を指定します。次に、「テスト」、「保存」を順にクリックします。

6. 優先資格証明として資格証明を登録した後、「エンタープライズ」メニューから「ジョブ」を選択し、「ジョブ・アクティビティ」をクリックします。

7. 「ジョブ・アクティビティ」ページで「ジョブの作成」リストから「OSコマンド」を選択し、「実行」をクリックします。

8. OSコマンドのジョブの作成ページの「一般」タブに、ジョブの名前を指定します。次に、「ターゲット」セクションから「追加」をクリックし、OSコマンドを実行するホストを追加します。

9. 「パラメータ」タブで「コマンド」にコマンドidを指定します。

10. 「発行」をクリックします。

11. 「ジョブ・アクティビティ」ページで、作成したジョブ名をクリックします。ジョブのステータスが表示されます。「ステータス」列をクリックしてその結果を表示します。

Cloud Controlは、優先資格証明で参照されるユーザーとしてコマンドを実行します。

2.4.1.8.16 SudoまたはPowerBroker資格証明を使用したエージェントの起動

Cloud Controlからエージェント制御操作(エージェントの起動、停止など)を実行すると、Enterprise Managerは、操作を行うためにエージェントがインストールされているマシンへのセキュア・シェル(SSH)接続を作成します。Enterprise Managerリリース12.1.0.4以降、エージェント制御操作はSudoまたはPowerBroker資格証明を使用して実行できます。たとえば、管理者はエージェントのホームページに移動して、「エージェント」メニューからエージェント制御操作を実行できます。

sudoを使用することで、許可されているユーザーは、sudoの構成ファイル(通常/etc/sudoersにある)で定義されているセキュリティ・ポリシーで指定されているsuperユーザーまたは他のユーザーとしてコマンドを実行できます。コマンド起動元のユーザーがrootである、またはターゲット・ユーザーがコマンド起動元のユーザーと同じ場合は、パスワードが不要です。そうでない場合はデフォルト時、ユーザーはパスワードを使用して自分自身の認証を実行する必要があります。ユーザーが認証されると、タイムスタンプが更新され、ユーザーはパスワードなしで短期間(/etc/sudoersファイル内で上書きされないかぎり5分間)sudoを使用できます。sudoは、/etc/sudoersファイルを確認して、許可されているユーザーを特定します(このファイルは特定のコマンドへのsudoアクセスを指定するようにも構成できます)。

2.4.1.8.17 権限委任設定の作成

Enterprise Managerでは、ホスト・ターゲット上で設定を直接作成するか、複数のホストに適用可能な権限委任設定テンプレートを作成することにより、権限委任設定を作成できます。

ホスト・ターゲットに対するFULL権限を持っている管理者は、そのホストに対する権限委任設定を作成できます。これらのホスト・ターゲットに対する表示権限を持っている管理者は、その権限委任設定を表示できます。Enterprise Managerスーパー管理者は、どのホスト・ターゲットに対する権限委任設定でも構成できます。

ホスト上で権限委任設定を直接作成する手順は、次のとおりです。

1. 「設定」メニューから、「セキュリティ」、「権限委任」の順に選択します。「権限委任の管理」画面が表示されます。

2. 表からホストを選択し、「編集」をクリックします。「ホスト権限委任設定の編集」ダイアログが表示されます。

3. 権限委任タイプ(sudoまたはPowerBroker)を選択します。

4. 使用する権限委任コマンドを入力します。PowerBrokerの場合、オプションの「パスワード・プロンプト」を入力します。

5. 「保存」をクリックし、設定をホストに適用します。
権限委任設定を作成したら、選択したターゲットにこの設定を適用する必要があります。この設定はもう1つのホストやコンポジット(グループ)・ターゲットに適用できます(グループには少なくとも1つのホスト・ターゲットが含まれている必要があります)。Cloud Controlコンソールを使用して、権限委任設定を適用できます。「設定」メニューで、「セキュリティ」、「権限委任」の順に選択します。

2.5 暗号化鍵の構成と使用

Enterprise Managerでは、機密データの完全性を守るためにemkeyと呼ばれるサイン・オン検証方法が使用されます。暗号化鍵は、リポジトリに格納されているパスワードや優先資格証明などの機密データの暗号化/復号化に使用されるマスター・キーです。emkeyはリポジトリの作成時間に生成され、最初はリポジトリ・データベースに保存されます。初めてOMSをインストールする際、emkeyは資格証明ストアにコピーされ、リポジトリから削除されます(emkeyは初めから保護されています)。バックアップは、OMS_ORACLE_HOME/sysman/config/emkey.oraに作成されます。

emkeyが破損したりバックアップemkey.oraファイルが消失した場合、リポジトリ内の暗号化されたデータはすべて使用不可になります。このため、OMSマシンがクラッシュしたりemkeyが破損した場合に、バックアップしたファイルを使用して環境をリカバリできるように、このファイルのバックアップを他のマシンに作成することを強くお薦めします。

起動時、OMSはemkeyを資格証明ストアとリポジトリから読み取ります。emkeyが見つからない場合または破損している場合、起動に失敗します。鍵をEnterprise Managerスキーマとは別に保管することで、スキーマの所有者およびSYSDBAユーザー(データベースのメンテナンス・タスクを行える特権ユーザー)が、リポジトリ内の名前付き資格証明などの機密データにアクセスできないようにします。さらに、鍵をスキーマとは別にすることで、リポジトリ・バックアップはアクセスされても、機密データはアクセスされないようにします。また、スキーマの所有者は、OMS/リポジトリOracleホームにアクセスできないようにします。

リポジトリ暗号化アルゴリズム

Enterprise Manager Cloud Controlリリース12.1.0.2以降、Advanced Encryption Standard (AES)アルゴリズムがEnterprise Managerリポジトリでのデータの暗号化に使用されます。暗号化鍵のサイズは256ビットです。

リリース12.1.0.2より前は、Triple Data Encryption Standard (3DES)がリポジトリ・データの暗号化に使用されていた暗号化アルゴリズムでした。

2.5.1 emkeyの構成

emkeyは、ホストのパスワード、データベースのパスワードなど、Enterprise Manager内の機密性の高いデータを暗号化および複合化するために使用される暗号化キーです。emkey.oraファイルはemkeyのコピーで、リストアのために安全な場所に保存しておく必要があります。

起動時に、Oracle Management Serviceは、emkeyのステータスを確認します。emkeyが適切に構成されている場合、OMSはこれを暗号化および複合化データに使用します。emkeyが適切に構成されていない場合、次のエラー・メッセージが表示されます。

例2-12 emctl start omsコマンド

Oracle Enterprise Manager 12c Release 3 Cloud Control
Copyright (c) 1996, 2013 Oracle Corporation.  All rights reserved.
emctl start oms
Starting HTTP Server ...
Starting Oracle Management Server ...
Checking Oracle Management Server Status ...
Oracle Management Server is not functioning because of the following reason:
The Em Key is not configured properly. Run "emctl status emkey" for more details.

2.5.2 emctlコマンド

emkeyに関連するemctlコマンドを次に示します。

- emctl status emkey [-sysman_pwd <パスワード>]

- emctl config emkey -copy_to_credstore [-sysman_pwd <パスワード>]

- emctl config emkey -remove_from_repos [-sysman_pwd <パスワード>]

- emctl config emkey -copy_to_file_from_credstore -admin_host <ホスト> -admin_port <ポート> -admin_user <ユーザー名> [-admin_pwd <パスワード>] [-repos_pwd <パスワード>] -emkey_file <emkeyファイル>

- emctl config emkey -copy_to_file_from_repos (-repos_host <ホスト> -repos_port <ポート> -repos_sid <SID> | -repos_conndesc <接続記述子>) -repos_user <ユーザー名> [-repos_pwd <パスワード>] [-admin_pwd <パスワード>] -emkey_file <emkeyファイル>

- emctl config emkey -copy_to_credstore_from_file -admin_host <ホスト> -admin_port <ポート> -admin_user <ユーザー名> [-admin_pwd <パスワード>] [-repos_pwd <パスワード>] -emkey_file <emkeyファイル>

- emctl config emkey -copy_to_repos_from_file (-repos_host <ホスト> -repos_port <ポート> -repos_sid <SID> | -repos_conndesc <接続記述子>) -repos_user <ユーザー名> [-repos_pwd <パスワード>] [-admin_pwd <パスワード>] -emkey_file <emkeyファイル>
例: 使用している環境がサービス名で構成されている場合は例1を使用します。その他のすべての場合は例2を使用します。

Example 1
emctl config emkey -copy_to_repos_from_file -repos_conndesc '"(DESCRIPTION=(ADDRESS_LIST=(ADDRESS=(PROTOCOL=TCP)(HOST=<>)(PORT=<>)))(CONNECT_DATA=(SERVICE_NAME=<>)))"' -repos_user <> [-repos_pwd <pwd> ] [-admin_pwd <pwd>] -emkey_file < emkey file>

Example 2
emctl config emkey -copy_to_repos_from_file -repos_host <host> -repos_port <port> -repos_sid <sid> -repos_user <username> [-repos_pwd <pwd> ] [-admin_pwd <pwd>] -emkey_file <emkey file>

2.5.2.1 emctl status emkey

このコマンドは、emkeyの状態またはステータスを示します。emkeyのステータスに応じて、次のメッセージが表示されます。

- emkeyが資格証明ストアおよびリポジトリで正しく構成されている場合、次のメッセージが表示されます。

例2-13 emctl status emkey - 例1

Oracle Enterprise Manager 12c Release 3 Cloud Control
Copyright (c) 1996, 2013 Oracle Corporation.  All rights reserved.
The EmKey is configured properly, but is not secure. Secure the EMKey by running "emctl config emkey -remove_from_repos"

- emkeyが資格証明ストアで正しく構成され、管理リポジトリから削除されている場合、次のメッセージが表示されます。

例2-14 emctl status emkey - 例2

Oracle Enterprise Manager 12c Release 3 Cloud Control
Copyright (c) 1996, 2013 Oracle Corporation.  All rights reserved.
The EMKey is configured properly.

- emkeyが資格証明ストアで破損し、管理リポジトリから削除されている場合、次のメッセージが表示されます。

例2-15 emctl status emkey - 例3

Oracle Enterprise Manager 12c Release 3 Cloud Control
Copyright (c) 1996, 2013 Oracle Corporation.  All rights reserved.
The EMKey is not configured properly or is corrupted in the credential store and does not exist in the Management Repository. To correct the problem:
1) Get the backed up emkey.ora file.
2) Configure the emkey by running "emctl config emkey -copy_to_credstore_from_file"

2.5.2.2 emctl config emkey -copy_to_credstore

このコマンドは、emkeyを管理リポジトリから資格証明ストアにコピーします。

例2-16 emctl config emkey -copy_to_credstoreコマンドの出力例

emctl config emkey -copy_to_credstore [-sysman_pwd <pwd>]
Oracle Enterprise Manager 12c Release 3 Cloud Control
Copyright (c) 1996, 2013 Oracle Corporation.  All rights reserved.
The EMKey has been copied to the Credential Store.

2.5.2.3 emctl config emkey -copy_to_file_from_credstore

このコマンドは、emkeyを資格証明ストアから指定のファイルにコピーします。

例2-17 emctl config emkey -copy_to_file_from_credstoreコマンドの出力例

emctl config emkey -copy_to_file_from_credstore -admin_host <host> -admin_port
<port> -admin_user <username> [-admin_pwd <pwd>] [-repos_pwd <pwd>] -emkey_file
<emkey file>
Oracle Enterprise Manager 12c Release 3 Cloud Control
Copyright (c) 1996, 2013 Oracle Corporation.  All rights reserved.
The EMKey has been copied to file.

2.5.2.4 emctl config emkey -copy_to_file_from_repos

このコマンドは、emkeyを管理リポジトリから指定のファイルにコピーします。

例2-18 emctl config emkey -copy_to_file_from_reposコマンドの出力例

emctl config emkey -copy_to_file_from_repos (-repos_host <host> -repos_port <port>
-repos_sid <sid> | -repos_conndesc <conn desc>) -repos_user <username> [-repos_pwd
<pwd>] [-admin_pwd <pwd>] -emkey_file <emkey file>
Oracle Enterprise Manager 12c Release 3 Cloud Control
Copyright (c) 1996, 2013 Oracle Corporation.  All rights reserved.
The EMKey has been copied to file.

注意: repos_host、repos_port、repos_sidまたはrepos_conndescのいずれかを指定する必要があります。

2.5.2.5 emctl config emkey -copy_to_credstore_from_file

このコマンドはemkeyをリポジトリから削除します。これは、すぐに使用できるように構成されているemkeyを保護します。

例2-19 emctl config emkey -copy_to_credstore_from_fileコマンドの出力例

emctl config emkey -copy_to_credstore_from_file -admin_host <host> -admin_port <port> -admin_user <username> [-admin_pwd <pwd>] [-repos_pwd <pwd>] -emkey_file <emkey file>
Oracle Enterprise Manager 12c Release 3 Cloud Control
Copyright (c) 1996, 2013 Oracle Corporation.  All rights reserved.
The EMKey has been copied to the Credential Store.

2.5.2.6 emctl config emkey -copy_to_repos_from_file

このコマンドは、emkeyを指定のファイルからリポジトリにコピーします。

例2-20 emctl config emkey -copy_to_repos_from_fileコマンドの出力例

emctl config emkey -copy_to_repos_from_file (-repos_host <host> -repos_port <port>
-repos_sid <sid> | -repos_conndesc <conn desc>) -repos_user <username> [-repos_pwd
<pwd>] [-admin_pwd <pwd>] -emkey_file <emkey file>
Oracle Enterprise Manager 12c Release 3 Cloud Control
Copyright (c) 1996, 2013 Oracle Corporation.  All rights reserved.
The EMKey has been copied to the Management Repository. This operation will cause
the EMKey to become unsecure.
After the required operation has been completed, secure the EMKey by running "emctl config emkey -remove_from_repos".

2.5.2.7 emctl config emkey -remove_from_repos

このコマンドは、リポジトリからemkeyを削除します。

例2-21 emctl config emkey -remove_from_reposコマンドの出力例

emctl config emkey -remove_from_repos [-sysman_pwd <pwd>]
Oracle Enterprise Manager 13c Release 3 Cloud Control
Copyright (c) 1996, 2013 Oracle Corporation.  All rights reserved.
The EMKey has been removed from the Management Repository.

注意:
emkeyが資格証明ストア内で破損している場合、管理リポジトリから削除できません。

2.5.3 シナリオのインストールおよびアップグレード

この項では、emkeyのシナリオのインストールとアップグレードについて説明します。

2.5.3.1 管理リポジトリのインストール

管理リポジトリを作成すると、新しいemkeyが強力なランダム番号として生成されます。

2.5.3.2 最初のOracle Management Serviceのインストール

Oracle Management Serviceをインストールすると、インストーラはemkeyを資格証明ストアにコピーして、リポジトリからemkeyを削除します(emkeyはすぐに保護されます)。

2.5.3.3 10.2または11.1から12.1へのアップグレード

管理リポジトリは通常どおりアップグレードされます。OMSのアップグレード時に、omsca (OMSコンフィギュレーション・アシスタント)はemkeyを資格証明ストアにコピーし、リポジトリから削除します。omscaは古いOMS Oracleホームにあるemkey.oraファイルからemkeyを読み込み、資格証明ストアにコピーします。

- 注意:
バージョン12.1より前は、アップグレードを開始する前に、emkeyを管理リポジトリにコピーする必要があります。Oracle Management Serviceをアップグレードすると、emkeyを保護できます(つまり、次のコマンドを実行して管理リポジトリからemkeyを削除します)。 emctl config emkey -remove_from_repos
バージョン12.1以降は、再インストール・チェックが導入され、この手順はアップグレードの際に実行されます。

2.5.3.4 管理リポジトリの再作成

管理リポジトリを再作成すると、新しいemkeyが生成されます。この新しい鍵は、資格証明ストア内の既存のemkeyと同期しません。鍵を同期するには、次の手順を実行します。

1. 新しいemkeyを資格証明ストアにコピーするには、emctl config emkey -copy_to_credstoreコマンドを使用します。

2. バックアップを作成するには、emctl config emkey -copy_to_file_from_reposコマンドまたはemctl config emkey -copy_to_file_from_credstoreコマンドを入力します。

3. emkeyを保護するには、emctl config emkey -remove_from_reposコマンドを使用します。

2.6 監査の構成と管理

ユーザーの作成、権限の付与、パッチまたはクローニングのようなリモート・ジョブの起動など、Enterprise Managerユーザーによって実行されるすべての操作は、Sarbanes-Oxley Act of 2002(SAS 70)に準拠していることを確認するために、監査を受ける必要があります。この法令は、サービス組織の契約に基づく内部統制を評価するために監査者が使用する基準を定義するものです。操作の監査を行うことで、管理者は問題を監視、検出および調査し、エンタープライズ全体にセキュリティ・ポリシーを強制できます。

ユーザーがどのようにEnterprise Managerにログインしたかに関係なく、監査が有効になっている場合は各ユーザー・アクションが監査され、監査の詳細が記録されます。

2.6.1 資格証明の監査

Enterprise Manager 13cでは、BASIC監査がデフォルトで有効になっているため、資格証明の作成、編集、アクセス、関連付けおよび削除の監査証跡が作成されます。名前付き資格証明は、権限を付与したり、取り消すことができる第1級のセキュリティ・オブジェクトです。つまり、複数のEnterprise Manager管理者が資格証明オブジェクトを使用および変更できます。資格証明は、システムで様々な操作を行うために使用される機密データであるため、資格証明に対する操作を監査する必要があります。

Enterprise Mangerではすべての資格証明操作の監査をサポートしていますが、最初に有効にする必要があります。監査情報には、現在のユーザー名、資格証明名、行われた操作、操作ステータス(成功または失敗)などがあります(これら以外にもあります)。監査ログには、資格証明の所有者、アクションの開始者、資格証明名、ユーザー名、ターゲット名、ジョブ名および操作の日時に関する情報が含まれます。パスワードや秘密鍵などの資格証明のフィールドは記録されません。

次の操作が監査されます。

- 名前付き資格証明の作成: 新規Enterprise Manager資格証明の作成が監査されます。

- 名前付き資格証明の編集: 資格証明の編集には、ユーザー名や機密性の高い資格証明の属性の変更が含まれる場合があります。資格証明の編集には、資格証明の認証スキームの変更も含まれる場合があります。

- 名前付き資格証明の削除: 資格証明のEnterprise Managerからの削除が監査されます。

- 名前付き資格証明の関連付け: 名前付き資格証明は、資格証明セットの優先資格証明としてターゲット・レベルまたはターゲット・タイプ・レベルで設定できます。名前付き資格証明は、ジョブから直接参照することもできます。名前付き資格証明の優先資格証明としての設定およびジョブまたはデプロイメント・プロシージャでの使用に伴うすべての操作が監査されます。

- 名前付き資格証明へのアクセス: Enterprise Managerサブシステムでは、様々なシステム管理タスクを行うために資格証明ストアから資格証明をリクエストします。

2.6.2 デフォルト監査アクション

デフォルトでは、ユーザーがEnterprise Managerのログインまたはログアウトを行うたびに、アクションが監査されます。次のリストでは、デフォルトで監査されるEnterprise Managerインフラストラクチャ操作を示します。

- 更新の適用

- MGMT_VIEWユーザー・パスワードの変更

- リポジトリ・パスワードの変更

- 認証の構成

- リポジトリへのEMキーのコピー

- リポジトリからのEMキーの削除

- カスタムCAの作成

- 更新の削除

- セキュア・コンソール

- ロックの保護

- OMSの保護

2.6.3 Enterprise Manager監査システムの構成

次のEM CLIコマンドを使用して、Enterprise Manager監査システムを構成できます。

- enable_audit: すべてのユーザー操作に対して監査を有効にします。

- disable_audit: すべてのユーザー操作に対して監査を無効にします。

- show_operations_list: 監査対象のユーザー操作のリストを表示します。

- show_audit_settings: 監査ステータス、操作リスト、外部化サービスの詳細およびパージ期間の詳細を表示します。

- update_audit_settings: リポジトリの現在の監査設定を更新します。

2.6.4 監査データ・エクスポート・サービスの構成

監査データは、数年間保護および保管する必要があります。監査データは非常に大量になる可能性があり、システムのパフォーマンスに影響を与える場合があります。リポジトリに保存されるデータの量を制限するために、定期的に監査データを外部化するかアーカイブする必要があります。アーカイブされた監査データは、ODL形式に準拠したXMLファイルで保存されます。監査データを外部化するには、EM_AUDIT_EXTERNALIZATION APIが使用されます。<ファイルの接頭辞>.NNNNN.xmlというフォーマットのレコード(NNNNは番号)が生成されます。番号は00001から99999までが使用されます。

update_audit_setting -externalization_switchコマンドを使用して、監査データをファイルシステムにエクスポートするように監査外部化サービスを設定できます。

EM監査外部化サービス・ジョブによって、監査システム・データの外部化が実行されます。デフォルトでは、このジョブは毎日1回実行されるようにスケジュールされています。次の図に示すように、Enterprise Managerコンソールの「リポジトリ・スケジューラ・ジョブ・ステータス」領域で、このジョブの現在のステータスを表示できます。

このページにアクセスするには、「設定」メニューから「Cloud Controlの管理」、「リポジトリ」の順に選択します。

2.6.5 監査設定のアップグレード

update_audit_settingsコマンドは、リポジトリの現在の監査設定を更新して管理サービスを再起動します。

例2-22 update_audit_settingコマンドの使用方法

emcli update_audit_settings
-audit_switch="ENABLE/DISABLE"
-operations_to_enable="name of the operations to enable, for all oprtations
use ALL"
-operations_to_disable="name of the operations to disable, for all
oprtations use ALL"
-externalization_switch="ENABLE/DISABLE"
-directory_name="directory_name (DB Directory)"
-file_prefix="file_prefix"
-file_size="file_size (Bytes)"
-data_retention_period="data_retention_period (Days)"

- -audit_switch: Enterprise Managerでの監査を有効にします。可能な値はENABLE/DISABLEです。デフォルト値はDISABLEです。

- -operations_to_enable: 指定した操作の監査を有効にします。すべての操作を有効にするにはAllを入力します。

- -operations_to_disable: 指定した操作の監査を無効にします。すべての操作を無効にするにはAllを入力します。

- -externalization_switch: 監査データのエクスポート・サービスを有効にします。可能な値はENABLE/DISABLEです。デフォルト値はDISABLEです。

- -directory: エクスポート・サービスが監査データ・ファイルをアーカイブするOSディレクトリにマップされるデータベース・ディレクトリ。

- -file_prefix: 監査データが格納されるファイルを作成する際にエクスポート・サービスで使用するファイルの接頭辞。

- -file_size: 監査データが格納されるファイルのサイズ。デフォルト値は5000000バイトです。

- data_retention_period: 監査データがリポジトリ内に保持される期間です。デフォルト値は365日です。

2.6.6 監査データの検索

指定した期間内に生成された監査データを検索できます。次のような検索も可能です。

- 特定のユーザー操作またはすべてのユーザー操作に関する監査の詳細。

- 成功または失敗のステータスを持つ操作またはすべての操作に関する監査の詳細。

「設定」メニューから、「セキュリティ」、「監査データ」の順に選択します。「監査データ」ページが表示されます。フィールドに検索条件を指定し、「実行」をクリックします。結果が「サマリー」表に表示されます。

検索条件と一致するレコードごとの詳細を表示するには、「表示」ドロップダウン・リストから「詳細」を選択します。レコードの完全な詳細にドリルダウンするには、「タイムスタンプ」をクリックします。

2.6.7 監査対象操作のリスト

Enterprise Managerでサポートされる監査操作の完全なリストは、EM CLI show_operations_list動詞を使用してください。

例 2-23 EM CLI show_operations_list

> emcli show_operations_list

Operation ID                     Operation Name           Infrastructure Operation
ADD_AGENT_REGISTRATION_PASSWORD      Add Registration Password             NO
ADD_CS_TARGET_ASSOC                  Add Standard-Target Association           NO
SECURITY_AUTH_CONFIG                 Configure Authentication                           YES

.

.

.

UPDATE_PASSWORD                      Update Password                           NO

2.6.8 インフラストラクチャの監査

Oracle Enterprise Manger Cloud Controlリリース3から。Enterprise Managerでは、基本およびインフラストラクチャ監査がデフォルトで有効になっています。Enterprise Managerには、150個を超える監査用オプションがあります。監査インフラストラクチャ操作は常に有効で無効にはできません。強化された「監査中」ページでは、定期的に付与される権限を容易に確認でき、どのユーザーがどの権限を行使したかを追跡できるため、ユーザー・アカウンタビリティが向上します。インフラストラクチャ・アクティビティはすぐに監査され、これらには更新、ダウンロード、OMSパスワードの変更およびemkeyのコピーおよびリポジトリからの削除が含まれます。

また、Cloud Controlコンソールからのすべての監査アクションの検索機能が強化されて向上し、監査操作のサブセットを検索したり、特定のクライアント・ホストおよびクライアント・タイプ(ブラウザまたはCLI)からの操作をフィルタリングして確認できます。これにより、監査担当者は効果的な方法で対象の特定操作を検索できます。

次の表に監査可能なすべてのイベントを示します。有効として表示されている監査可能イベントはインフラストラクチャ監査イベントで、デフォルトで有効に設定されており無効にすることはできません。

表2-4 監査可能なイベント

イベント

有効/無効(デフォルト)

更新の適用

有効

MGMT_VIEWユーザー・パスワードの変更

有効

リポジトリ・パスワードの変更

有効

認証の構成

有効

Enterprise Managerキーをリポジトリにコピー

有効

カスタムCAの作成

有効

Enterprise Managerにログイン

有効

Enterprise Managerをログアウト

有効

Enterprise Managerキーをリポジトリから削除

有効

更新の削除

有効

セキュア・コンソール

有効

ロックの保護

有効

OMSの保護

有効

WebLogic Serverの保護

有効

名前付き資格証明へのアクセス

無効

登録パスワードの追加

無効

ソフトウェア・ライブラリの記憶域の追加

無効

標準-ターゲット・アソシエーションの追加

無効

エンティティのテンプレート・コレクションへの追加

無効

監視テンプレートの適用

無効

テンプレート・コレクションを管理グループに関連付け

無効

メトリック拡張のアタッチ

無効

監査エクスポート設定

無効

監査設定

無効

コネクタ設定の変更

無効

パスワードの変更

無効

優先資格証明の変更

無効

手動ルール違反のクリア

無効

コネクタの構成

無効

管理グループの作成

無効

変更管理設定の作成

無効

コネクタの作成

無効

資格証明セットの作成

無効

カスタム構成の仕様の作成

無効

カスタム構成仕様パーサーの作成

無効

カスタム・ターゲット・タイプの作成

無効

ファセットの作成

無効

ファセット・パラメータの作成

無効

ファセット・パターンの作成

無効

フレームワークの作成

無効

メトリック拡張の作成

無効

モニタリング・テンプレートの作成

無効

名前付き資格証明の作成

無効

リアルタイム・モニタリング・ルールの作成

無効

解決状態の作成

無効

ロールの作成

無効

ルールの作成

無効

ルール・セットの作成

無効

標準の作成

無効

テンプレート・コレクションの作成

無効

ユーザーの作成

無効

データベース・ログイン

無効

データベース・ログアウト

無効

データベースの再起動

無効

データベースの停止

無効

データベースの起動

無効

管理グループの削除

無効

資格証明セットの削除

無効

カスタム構成の仕様の削除

無効

カスタム構成仕様パーサーの削除

無効

ファセットの削除

無効

ファセット・パラメータの削除

無効

ファセット・パターンの削除

無効

フレームワークの削除

無効

ジョブの削除

無効

管理コネクタの削除

無効

メトリック拡張の削除

無効

モニタリング・テンプレートの削除

無効

名前付き資格証明の削除

無効

リアルタイム・モニタリング・ルールの削除

無効

登録パスワードの削除

無効

解決状態の削除

無効

ロールの削除

無効

ルールの削除

無効

ルール・セットの削除

無効

ソフトウェア・ライブラリ・エンティティの削除

無効

ソフトウェア・ライブラリ・フォルダの削除

無効

標準の削除

無効

ターゲットの削除

無効

テンプレート・コレクションの削除

無効

更新の削除

無効

ユーザーの削除

無効

カスタム構成の仕様のデプロイ

無効

メトリック拡張のデタッチ

無効

ルールの無効化

無効

ルール・セットの無効化

無効

標準-ターゲット・アソシエーションの無効化

無効

管理グループからテンプレート・コレクションの関連付けを解除

無効

更新のダウンロード

無効

フレームワークの編集

無効

ジョブの編集

無効

モニタリング・テンプレートの編集

無効

登録パスワードの編集

無効

ルールの編集

無効

ルール・セットの編集

無効

標準の編集

無効

標準-ターゲット・アソシエーションの編集

無効

テンプレート・コレクションの編集

無効

ルールの有効化

無効

ルール・セットの有効化

無効

標準-ターゲット・アソシエーションの有効化

無効

エージェントとしてコマンドを実行

無効

ファイル転送ジョブ

無効

ファイル取得ジョブ

無効

権限の付与

無効

ロールの付与

無効

ファセットのインポート

無効

フレームワークのインポート

無効

リアルタイム・モニタリング・ルールのインポート

無効

ルールのインポート

無効

標準のインポート

無効

アクションをモニターに含める

無効

フィルタ・ファセットを含める

無効

モニタリング・ファセットを含める

無効

ジョブ実行処理

無効

情報更新を既読としてマーク

無効

管理グループの変更

無効

変更管理設定の変更

無効

カスタム構成の仕様の変更

無効

ファセットの変更

無効

ファセット・コンテンツの変更

無効

ファセット・パラメータの変更

無効

ファセット・パターンの変更

無効

メトリック設定の変更

無効

名前付き資格証明の変更

無効

リアルタイム・モニタリング・ルールの変更

無効

解決状態の変更

無効

ロールの変更

無効

ユーザーの変更

無効

ソフトウェア・ライブラリ・エンティティの移動

無効

メトリック拡張の公開

無効

ソフトウェア・ライブラリの記憶域のパージ

無効

エージェントとしてファイルを配置

無効

ファイル配置ジョブ

無効

Enterprise Managerストアからのリフレッシュ

無効

登録パスワードの使用

無効

リモート操作ジョブ

無効

アクションをモニターから削除

無効

変更管理設定の削除

無効

フィルタ・ファセットの削除

無効

モニタリング・ファセットの削除

無効

権限委任設定の削除

無効

ソフトウェア・ライブラリの記憶域の削除

無効

標準-ターゲット・アソシエーションの削除

無効

エンティティのテンプレート・コレクションからの削除

無効

テンプレート・コレクションの名前の変更

無効

ルールの並替え

無効

ルール・セットの並替え

無効

ジョブの再開

無効

エージェントの再同期

無効

リポジトリの再同期

無効

ジョブの再試行

無効

権限の取消し

無効

ロールの取消し

無効

モニタリング設定の保存

無効

権限委任設定の設定

無効

ジョブの停止

無効

ジョブの発行

無効

更新サブスクライブ・タイプ

無効

違反の抑止

無効

ジョブの一時停止

無効

ターゲット・ログイン

無効

ターゲット・ログアウト

無効

カスタム構成の仕様のアンデプロイ

無効

更新サブスクライブ解除タイプ

無効

違反の抑止解除

無効

データベース・パスワードの更新

無効

メトリック拡張の更新

無効

パスワードの更新

無効

更新があります

無効

2.6.8.1 WebLogic Serverの監査可能イベント

次のWebLogic Serverイベントを監査できます:

- ドメインの更新

- ドメインのログイン

- ドメインのログアウト

これらのイベントを監査するには、次のEM CLIコマンドを入力します:

emcli update_audit_settings
-operations_to_enable="WEBLOGIC_DOMAIN_UPDATE_INVOKE;WEBLOGIC_DOMAIN
_LOGIN;WEB_LOGIC_DOMAIN_LOGOUT"

注意:
監査済WebLogic Serverデータを見る権限を所有しているのは、スーパー管理者のみです。

2.7 セキュリティのその他の考慮事項

Enterprise Managerのコンポーネントとフレームワークに対してセキュリティを有効にした場合、セキュリティのその他の考慮事項があります。ここでは、次の内容について説明します。

- SYSMANパスワードおよびMGMT_VIEWパスワードの変更

- ブラウザ固有のセキュリティ証明書アラートへの対応

2.7.1 SYSMANパスワードおよびMGMT_VIEWパスワードの変更

この項では、SYSMANパスワードおよびMGMT_VIEWパスワードの変更に使用されるコマンドについて説明します。

2.7.1.1 SYSMANユーザー・パスワードの変更

SYSMANユーザー・アカウントは、Oracle Management Repositoryにログインして、すべてのアクティビティの格納および問合せを行うために、Oracle Management Serverによって使用されます。パスワードは暗号化されて格納されます。すべての操作で、Enterprise Manager Cloud Controlが適切に機能するために、SYSMANパスワードがOMRで変更された場合は、OMSでも変更する必要があります。

注意:
12c以降では、SYSMANのパスワード、または、リポジトリ・データベース上の他の任意のリポジトリ・ユーザーのパスワードを直接変更することは推奨しません。したがって、パスワードは次にリストする方法のいずれかを使用して変更してください。

2.7.1.1.1 現在のSYSMANパスワードがわかっている場合。

1. emctl stop omsを使用して、すべてのOMSインスタンスを停止します。
OMS_Home/bin/emctl stop oms

BIPが構成されている場合: 次を実行することによって各マシンでBIPを停止します。

OMS_Home/bin/emctl stop oms -bip_only

JVMDまたはADP(あるいはその両方)が構成されている場合、JVMD/ADPエンジンを停止します:

emctl extended oms jvmd stop –all

emctl extended oms adp stop -all

プライマリOMSマシンも含め、すべてのOMSマシンで同じコマンドを実行します。この操作中も管理サーバーは稼働している必要があるので、「-all」は含めないでください。

2. SYSMANパスワードを変更します。
cd <OMS_HOME>/bin

emctl config oms -change_repos_pwd [-old_pwd <old_pwd>] [-new_pwd <new_pwd>] [-use_sys_pwd [-sys_pwd <sys_pwd>]]

emctl config oms -change_repos_pwd'

コマンドのパラメータ

パラメータ

説明

-change_repos_pwd

SYSMANのパスワードの変更に使用されます。

-old_pwd

現在のSYSMANパスワードです。

-new_pwd

新しいパスワードです。

-use_sys_pwd

このパラメータはオプションです。SYSユーザーとしてデータベースに接続する場合に使用されます。SYSMANアカウントが失効したり、ロックされた場合、このオプションを使用します。

-sys_pwd

SYSユーザーのパスワードです。-use_sys_pwdが指定される場合にのみ必要です。

コマンドの動作

注意:

前述のコマンドは、SYSMANユーザーの現在のパスワードと新しいパスワードを要求します。

パスワードは、OMSおよびリポジトリ・ターゲット用に、リポジトリ・データベースおよび監視資格証明で変更されます。

SYSMANパスワードとともに、このコマンドはリポジトリ・データベースで作成されたパスワードをEMユーザー(SYSMAN_MDS、BIP、SYSMAN_OPSS、SYSMAN_APM、SYSMAN_RO)用に変更します。

コマンドの出力例:

emctl config oms -change_repos_pwd
Oracle Enterprise Manager Cloud Control 12c Release 12.1.0.1.0
Copyright (c) 1996, 2011 Oracle Corporation. All rights reserved.
Enter Repository User's Current Password :
Enter Repository User's New Password :

Changing passwords in backend ...
Passwords changed in backend successfully.
Updating repository password in Credential Store...
Successfully updated Repository password in Credential Store.
Restart all the OMSs using 'emctl stop oms -all' and 'emctl start oms'.
Successfully changed repository password.

3. プライマリOMSマシン上の管理サーバーを停止してから、すべてのOMSを再起動します。
cd <OMS_HOME>/bin

emctl stop oms –all

4. すべての管理サービスを再起動します。
cd <OMS_HOME>/bin

emctl start oms

2.7.1.1.2 現在のSYSMANパスワードが不明な場合

1. すべてのOMSを停止します。
cd <OMS_HOME>/bin

emctl stop oms

プライマリOMSマシンでも同じコマンドを実行します。この操作中も管理サーバーは稼働している必要があるので、「-all」は含めないでください。

2. SYSMANパスワードを変更します。
cd <OMS_HOME>/bin

emctl config oms -change_repos_pwd -use_sys_pwd -sys_pwd <sys user password> -new_pwd <new sysman password>

注意:

「-use_sys_pwd」は、SYSユーザーとしてデータベースに接続するために使用され、SYSMANパスワードをリポジトリ・データベース内で変更します。

現在のSYSMANパスワードは要求されず、新しいパスワードのみを入力するよう要求されます。これにより、古いパスワードが、入力した新しいパスワードに再設定されます。

パスワードは、OMSおよびリポジトリ・ターゲット用に、リポジトリ・データベースおよび監視資格証明で変更されます。

SYSMANパスワードとともに、このコマンドはリポジトリ・データベースで作成されたパスワードをEMユーザー(SYSMAN_MDS、BIP、SYSMAN_OPSS、SYSMAN_APM、SYSMAN_RO)用に変更します。

3. プライマリOMSマシン上の管理サーバーを停止してから、すべてのOMSを再起動します。
cd <OMS_HOME>/bin

emctl stop oms -all

emctl start oms

2.7.1.2 MGMT_VIEWユーザー・パスワードの変更

MGMT_VIEWユーザーのパスワードを変更するには、次のコマンドを使用します。

emctl config oms -change_view_user_pwd [-sysman_pwd <sysman_pwd>] [-user_pwd <user_pwd>] [-auto_generate]

パラメータ

説明

-change_view_user_pwd

MGMT_VIEWユーザーのパスワードの変更に使用されます。

-sysman_pwd

SYSMANユーザーのパスワード。

-user_pwd

MGMT_VIEWユーザーの新規パスワード。

-auto_generate

このオプションを指定する場合、パスワードは自動生成されます。

1. すべてのOMSを停止します。
<OMS_HOME>/bin/emctl stop oms

2. OMSのいずれかで次のコマンドを実行します。
<OMS_HOME>/bin/emctl config oms -change_view_user_pwd [-old_pwd <old_pwd>] [ -new_pwd <new_pwd>]

3. AdminServerとすべてのOMSを再起動します。
emctl stop oms -all

emctl start oms

2.7.2ブラウザ固有のセキュリティ証明書アラートへの対応

Enterprise ManagerにHTTPSを介して接続する場合、管理サービスではブラウザに管理サービスのアイデンティティを確認する証明書が表示されます。この証明書は、使用しているコンピュータが信頼するサード・パーティにより検証されています。Webブラウザで信頼できない証明書が検出されると、セキュリティ・アラート・メッセージが生成されます。Enterprise Managerの証明書がブラウザに信頼されていない認証局によって発行されるため、セキュリティ・アラート・ダイアログ・ボックスが表示されます。

警告を無視して、Enterprise Managerセッションを継続することもできます。または、CA証明書をブラウザの信頼できる"ルート"証明書のリストにインポートして、以降のブラウザ・セッションで証明書のセキュリティ・アラートを排除できます。

2.7.2.1 サード・パーティの証明書のワークフロー

次の高度なレベルの手順は、Enterprise Managerがサード・パーティの証明書を使用する設定に含まれます。

手順1: ウォレットを生成し、Entrust、Verisign、ThwateまたはDigiCertなどのサード・パーティの認証局による認証を受けます。
手順2: 各OMS用カスタム・ウォレットを構成します。手順については、第2.3.9.1項「HTTPSコンソール・ユーザー用サード・パーティの証明書の構成」
を参照してください。手順3: 証明書をブラウザの信頼できるルート証明書のリストにインポートして、以降のブラウザ証明書の警告を排除します。次の項では、セキュアな環境でEnterprise Managerを使用する場合のブラウザ固有のセキュリティ・アラート・ダイアログ・ボックスへの対応方法について説明します。注意: 手順3は、VerisignやEntrusなどの十分に認知された認証局には必要ありません。

- Internet Explorerのセキュリティ・アラート・ダイアログ・ボックスへの対応

- Internet Explorerのセキュリティ・アラート・ダイアログ・ボックスへの対応

- Mozilla Firefoxの新しいサイトの証明書ダイアログ・ボックスへの対応

- Google Chromeのセキュリティ・アラート・ダイアログ・ボックスへの対応

- Safariのセキュリティ・ダイアログ・ボックスへの対応

2.7.2.2 Internet Explorerのセキュリティ・アラート・ダイアログ・ボックスへの対応

セキュリティは、管理サービスに対してデフォルトでは有効です。ただし、Web層の拡張セキュリティ機能を有効にしていない場合、「このWebサイトのセキュリティ証明書には問題があります。」という警告が表示されます。これは、Enterprise Managerの証明書がブラウザに信頼されていない認証局によって発行されるためです。

Internet Explorerに証明書の警告ページが表示された場合、次の手順で証明書をインストールし、今後Enterprise Managerセッションでこのページが再度表示されないようにします。

1. 証明書の警告ページで、「このサイトの閲覧を続行する(推奨されません)。」をクリックします。
Internet Explorerから「セキュリティの警告」ダイアログが表示されます。

2. 「はい」をクリックします。これより前のInternet Explorerセッションで「今後、この警告を表示しない」を選択していない場合、Internet Explorerは「セキュリティの警告」ダイアログを表示します。「OK」をクリックしてダイアログ・ボックスを閉じます。

3. Enterprise Managerコンソールのログオン・ページが表示されます。

4. ブラウザの最上部の「証明書のエラー」をクリックすると、「証明書」のポップアップが表示されます。

5. 「証明書の表示」をクリックします。「証明書」ダイアログが表示されます。

6. 「証明書のパス」タブをクリックし、次の図に示すような証明書のリストの最初のエントリを選択します。

7. 「証明書の表示」をクリックして別の「証明書」ダイアログ・ボックスを表示します。

8. 「証明書のインストール」をクリックして証明書のインポート・ウィザードを表示します。

9. ウィザードでデフォルトの設定を受け入れ、終了したら「完了」をクリックします。
Internet Explorerから、証明書をインストールするかどうかをたずねる「セキュリティの警告」が表示されます。「はい」をクリックします。証明書が正常にインポートされたことを示すメッセージがInternet Explorerから表示されます。

10. 「OK」をクリックして各セキュリティ・ダイアログ・ボックスを終了し、「セキュリティの警告」ダイアログ・ボックスで「はい」をクリックしてブラウザ・セッションを続けます。
このブラウザを使用する場合のEnterprise Managerへの以降の接続で「セキュリティの警告」ダイアログ・ボックスが表示されなくなります。

2.7.2.3 Mozilla Firefoxの新しいサイトの証明書ダイアログ・ボックスへの対応

Enterprise Managerの証明書がブラウザに信頼されていない認証局によって発行されると、Firefoxも接続の警告を発行します。Mozilla FirefoxでHTTPS URLを使用して初めてCloud Controlコンソールを表示すると、接続が信頼できないため、警告が表示されます。

Firefoxから「接続の安全性を確認できません」ページが表示された場合、次の手順で証明書をインストールし、今後Enterprise Managerセッションでこのページが再度表示されないようにします。

1. 手順と情報を確認します。「危険性を理解した上で接続するには」をクリックします。Firefoxによって、詳細情報と証明書を追加するオプションが表示されます。

2. 「例外を追加...」をクリックします。Firefoxによって、「セキュリティ例外の追加」ダイアログが表示されます。

3. 「次回以降にもこの例外を有効にする」オプションが選択されていることを確認します。
現在のブラウザを使用する際に新しいサイト証明書ダイアログ・ボックスは表示されなくなります。

4. 「セキュリティ例外を承認」をクリックします。Enterprise Managerコンソールが表示されます。

このブラウザを使用した以降のEnterprise Managerへの接続で、接続の安全性を確認できないという警告は表示されなくなりました。

2.7.2.4 Google Chromeのセキュリティ・アラート・ダイアログ・ボックスへの対応

Google Chromeでは、このWebのセキュリティ証明書が信頼できない場合、警告が表示されます。Google ChromeでHTTPS URLを使用して初めてCloud Controlコンソールを表示すると、接続が信頼できないため、警告が表示されます。

Google Chromeから「接続の安全性を確認できません」ページが表示された場合、次の手順で証明書をインストールし、今後Enterprise Managerセッションでこのページが再度表示されないようにします。

注意:
Google Chromeでこの方法を使用して証明書をインストールすると、パフォーマンスの低下が生じることがあります。この問題を解決する最適なオプションは、選択したベンダーから信頼できる証明書を取得することです。

1. URLアドレス・バーの左側の×印の付いた南京錠アイコンをクリックします。

2. メニューの「証明書情報」をクリックします。

3. 証明書のパス・タブを選択します。

4. OMSホスト名を選択します(赤い十字アイコン)。

5. 「証明書の表示」をクリックします。

6. 「詳細」タブを選択します。

7. 「ファイルへコピー」をクリックします。

ウィザードに従って処理を行います。ウィザードに従い、すべてデフォルトのオプションを選択します。

8. デスクトップに証明書を保存します。たとえば、次のように保存できます。

adc1110000.cer

9. Google Chromeのニューから、「ツール」に移動し、「設定」をクリックして、「詳細設定を表示」を選択します。

10. 「証明書の管理」をクリックします。

11. 「信頼されたルート証明機関」タブを選択します。

12. 「インポート」をクリックします。
ウィザードが保存された証明書のインポート・プロセスをガイドします。

インポートしている証明書が検証できないというメッセージが警告ウィンドウに表示され、続行するかどうか確認されます。次に進むには、「はい」をクリックします。

13. 保存された証明書が「信頼されたルート証明機関」表に表示されているかどうかを確認します。

14. Google Chromeブラウザを再起動し、Enterprise Manager URLをロードします。証明書エラーアイコンがアドレス・バーに表示されていない場合、証明書は有効で信頼できます。

2.7.2.5 Safariのセキュリティ・ダイアログ・ボックスへの対応

Safariでは、証明書を個別にインストールするオプションはサポートされません。この問題を解決するには、選択したベンダーから信頼できる証明書を取得することです。

3 Enterprise Managerの保護

この章では、Enterprise Managerを保護するためのガイドラインについて説明します。

3.1 セキュアなインフラストラクチャおよびインストールのガイドライン

Oracle Enterprise Managerのデプロイメントを保護するには、OMSおよびリポジトリが配置されている基礎となるオペレーティング・システムから、Enterprise Managerコンポーネント自体に至るまでのスタックのすべてのレイヤーを保護することが必要になります。ここで取り上げる推奨事項は、特定のDoS攻撃を防ぐだけでなく全体のセキュリティも強化します。

3.1.1 インフラストラクチャおよびオペレーティング・システムの保護

Linuxプラットフォーム上のrsh、rlogin、telnetおよびrexecなどの非保護サービスをすべて削除することによって、マシン自体を強化します(非保護サービスのリストおよび異なるプラットフォーム上でそれらを削除する方法については、CISベンチマークを参照してください)。また、必須ではないサービスを停止してホストのアタック・フットプリントを最小限に抑え、不要なサービスのリソース消費を削減してシステム・リソースを解放し、OMSから最良のパフォーマンスを引き出すことをお薦めします。

sudoやPowerBrokerなどのユーティリティを使用して、すべての「Oracleホーム」への間接または偽装ベースのアクセスのみをサポートすることによって、OSのアクセスを制限します。WebLogic Serverホーム・ディレクトリ、特に構成ファイル、セキュリティ・ファイル、ログ・ファイルおよび他のWebLogicドメイン用Java EEリソースを含むドメイン・ディレクトリを保護します。WebLogic Serverを実行する1人のみのOSユーザーにこのディレクトリへのアクセス権限を付与します。

すべてのOracleホームが最新のCPU (Critical Patch Update)を使用してパッチ適用されていることを確認します。これは、Oracle Management Service、リポジトリ、エージェントおよび管理対象ターゲットを保護するための推奨のベスト・プラクティスです。My Oracle Supportの資格証明を、「パッチ・アドバイザ」から新規のセキュリティ・アラートおよびCPUを検出するように設定します。デフォルトの「Oracle製品用のセキュリティ推奨」コンプライアンス標準では、ターゲットに最新のセキュリティ・パッチがない場合、コンプライアンス標準違反がトリガーされます。さらに、「ホストのセキュアな構成」がOMSおよびリポジトリのホストに関連付けられている必要があります。セキュリティ・レベルに応じて適用できる、データベースおよびWLS用の追加のコンプライアンス標準もあります。使用可能なコンプライアンス標準およびターゲットの関連付け方法の詳細は、『Oracle Enterprise Manager Cloud Control管理者ガイド』を参照してください。

OMSは、Oracle WebLogic Server上で実行します。Oracle WebLogic Serverを保護するためのベスト・プラクティスの多くは、OMSの保護にも適用できます。詳細は、『Oracle Fusion Middleware Oracle WebLogic Server本番環境の保護』のOracle WebLogic Serverの保護に関する説明を参照してください。

OMS、リポジトリおよびエージェントがファイル・システムの領域について監視されていることを確認します。OMSはログおよびトレース・ファイルに多くの情報を書き込むため、正常な操作およびトラブルシューティングには、適切な領域が必要となります。エージェントも、ログ・ファイル、トレース・ファイルおよびターゲット・メトリックの収集用にファイル・システム領域を必要とします。

3.1.1.1 インフラストラクチャおよびオペレーティング・システムを保護するためのベスト・プラクティス

- セキュアではないサービスを削除し、すべてのインフラストラクチャ・コンポーネントの必須ではないサービスを停止する

- OSのアクセスを制限し、重要なファイルおよびディレクトリを保護する

- 最新のOSセキュリティ・パッチを適用する

- セキュリティ・コンプライアンス標準に従い、最新のOracle CPUパッチをすべてのコンポーネントに適用する(OMS、リポジトリおよびエージェント)

- OMS、リポジトリおよびエージェントについて、ファイル・システムの領域を監視する

3.1.2 Oracle Management Repositoryの保護

前述の推奨事項に加えて、Oracle Management Repositoryを保護する手順が必要です。Oracle Management RepositoryはOracle Database内にあるため、Oracle Database自体を保護する多くのベスト・プラクティスをリポジトリの保護にも適用できます。Oracle Databaseセキュリティのベスト・プラクティスについては、Oracle Databaseセキュリティ・チェックリストを参照してください。

前述のドキュメントには、データベースを保護するために実行する必要のある特定のオペレーティング・システム・レベルの手順についても記載されています。Enterprise Managerのデプロイメントにおいて実装される追加の推奨事項を次に説明します。

3.1.2.1 高度なセキュリティ・オプションの有効化

OMSとリポジトリとの間の高度なセキュリティ・オプション(ASO)を有効にして、OMSとリポジトリとの間のデータが機密保護および整合性の両方の観点から見て確実にセキュアであるようにします。リポジトリ・データベースで必要なASO構成に加えて、OMSとエージェントをセキュアなリポジトリ・データベースに接続するように構成する必要もあります。Enterprise Managerに対するASOの実装手順の詳細は、『Oracle Enterprise Manager Cloud Control管理者ガイド』のEnterprise Managerのセキュリティに関する説明を参照してください。

ASOの詳細は、『Oracle Database Advanced Securityガイド』を参照してください。

3.1.2.1.1 ネットワーク・アクセスの制限

リポジトリ・データベースをファイアウォール内に置き、ネットワークIPアドレスを確認することによって、リポジトリが配置されているホストへのネットワーク・アクセスを制限します。リスナーは、TNS_ADMIN/protocol.oraファイルに次のパラメータを追加して、OMSノードからのみのリクエストを受けるように構成する必要があります。

- tcp.validnode_checking =YES

- tcp.excluded_nodes = (IPアドレスのリスト)

- tcp.invited_nodes = (IPアドレスのリスト)(すべてのOMSノードをここにリストする)

最初のパラメータでこの機能を有効にし、次のパラメータはそれぞれOracleリスナーへの接続を拒否および許可する特定のクライアントのIPアドレスを指定します。詳細は、『Oracle Databaseセキュリティ・ガイド』のネットワーク接続の保護に関する項を参照してください。

3.1.2.1.2 SYSアクションの監査

AUDIT_SYS_OPERATIONS = TRUEに設定して、すべてのSYS (スキーマ)操作をデータベース・レベルで監査します。

オペレーティング・システムsyslog監査証跡を使用して、リポジトリのデータベースのバージョンが10gR2以降の場合に、データベース管理者のような権限を持つユーザーが、オペレーティング・システム証跡に格納された監査レコードを変更または削除できるリスクを最小限に抑えます。

- 10gR2 DBの場合、syslog監査証跡の詳細は、監査のドキュメントを参照してください。

- 11g DBでは、AUDIT_SYS_LEVEL初期化パラメータをsyslog監査証跡を使用するように適切に設定します。詳細は、11gのドキュメントを参照してください。

3.1.2.1.3 ユーザー・アカウントの保護

ユーザーは、自分の個別のアカウントを使用してコンソールにログインする必要があり、SYSMANユーザーは使用しません。SYSMANはスキーマの所有者で、Enterprise Managerスーパー管理者よりも権限が高くなっています。SYSMANアクセスの必要性を減らすため、複数のユーザーにスーパー管理者を付与する必要があります。複数のスーパー管理者アカウントを作成する大きな理由は、あるユーザーが辞書攻撃または総当たり攻撃によりロックされた場合に、別のユーザーがアカウント・アクセスを維持できるようにするためです。スーパー管理者権限は、スーパー管理者であることにより得られるすべての権限が本当に必要なユーザーにのみ制限する必要があります。

状況によっては、リポジトリ・データベースでSYSMANユーザーとして次のSQL文を実行して、SYSMANがコンソールにログインしないようにした方がよい場合があります。

UPDATE MGMT_CREATED_USERS
SET SYSTEM_USER='-1'
WHERE user_name='SYSMAN'

SYSMANのコンソールへのログインを無効にした後、次のようにすると有効にできます。

UPDATE MGMT_CREATED_USERS
SET SYSTEM_USER='1'
WHERE user_name='SYSMAN'

リポジトリベースの認証を使用しながらEnterprise Manager管理者のパスワード制御を強化するには、パスワード・プロファイルを使用します。すぐに使用できるEnterprise Manager管理者用のパスワード・プロファイル、MGMT_ADMIN_USER_PROFILEがあり、これは次のパラメータ設定になっています。

- FAILED_LOGIN_ATTEMPTS=10

- PASSWORD_LIFE_TIME=180

- PASSWORD_REUSE_TIME=UNLIMITED

- PASSWORD_REUSE_MAX=UNLIMITED

- PASSWORD_LOCK_TIME=1

- PASSWORD_GRACE_TIME=7

- PASSWORD_VERIFY_FUNCTION=MGMT_PASS_VERIFY

すぐに使用できるパスワード検証関数MGMT_PASS_VERIFYでは、パスワードがユーザー名と同じではなく、長さが8文字以上で、1つ以上の英数字および句読点を含んでいることを確認します。特別な要件を満たす様々な値、たとえば、厳しい複雑さのパスワード要件を満たす新しいパスワード検証関数を使用して、カスタマイズしたパスワード・プロファイルを作成できます。

SYSMANおよびMGMT_VIEWユーザーのパスワードは、『Oracle Enterprise Manager Cloud Control管理者ガイド』のセキュリティに関する説明に記載された方法のみを使用して定期的に変更します。ドキュメントに記載された(update_db_password())コマンドを使用すると、OMSおよびリポジトリ・データベースでのSYSMAN関連のパスワードの変更に役立ちます。このコマンドを正しく実行しないと、複数あるアカウントのうちの1つに対する一貫したパスワードが得られないため、OMSは起動に失敗する場合があります。新旧のSYSMANパスワードを入力するよう求められます。

MGMT_VIEWパスワードを変更する際、-auto_generateを選択してだれにもわからないランダム・パスワードを生成できます。MGMT_VIEWパスワードはレポート・システムによってのみ使用され、ログインには使用できないため、auto_generateフラグでこのパスワードが知られないようにできます。

内部ユーザーのロックアウトによるサービスの中断を防ぐため、SYSMANおよびMGMT_VIEWユーザーはインストール時にMGMT_INTERNAL_USER_PROFILEと関連付けられます。パスワード・パラメータはすべて、UNLIMITEDに設定されます。さらに、リソースの消費制限によりセッションがハングしたり時間がかからないように、MGMT_INTERNAL_USER_PROFILEのカーネル・パラメータがデフォルトで無制限に設定されます。

3.1.2.1.4 暗号化鍵の保護とバックアップ

暗号化鍵は、リポジトリに格納されているパスワードや優先資格証明などの機密データの暗号化または復号化に使用されるマスター・キーです。この鍵自体は最初にリポジトリに保存され、インストールが完了すると自動的に削除されます。これはアップグレードの間のみ、リポジトリに置かれている必要があります。鍵をEnterprise Managerスキーマとは別に保管することで、スキーマの所有者およびSYSDBAユーザー(データベースのメンテナンス・タスクを行える特権ユーザー)が、優先資格証明などの機密データにアクセスできないようにします。鍵をEnterprise Managerスキーマとは別にすることで、リポジトリ・バックアップはアクセスされても、機密データはアクセスされないようにします。さらに、Enterprise Managerスキーマの所有者(SYSMAN)は、emkeyの読取りや上書きをしないように、OMSのOracleホームへアクセスできないようにします。Enterprise Managerの暗号化サポートおよびemkeyの詳細は、『Oracle Enterprise Manager Cloud Control管理者ガイド』を参照してください。暗号化鍵を保護するには次に説明するプロセスを実行します。

次のコマンドを実行してファイルに暗号化鍵をバックアップし、この暗号化ファイルを別のマシンに安全に保持し、アクセスをOMSソフトウェアの所有者のみに制限します。暗号化鍵が消失または破損した場合、リポジトリ内の暗号化データは使用できなくなります。

$ emctl config emkey –copy_to_file_from_credstore –emkey_file emkey.ora

Enterprise Managerパッチおよびアップグレードなどの一部の操作では、暗号化キーがリポジトリに必要です。

操作が終了したら、リポジトリから鍵を削除します。

$ emctl config emkey –remove_from_repos

3.1.2.1.5 Oracle Management Repositoryを保護するためのベスト・プラクティス

- リポジトリ・データベースで高度なセキュリティ・オプションを有効にし、OMSおよびエージェントを構成する

- 既知のターゲットへのネットワーク・アクセスを制限する

- 管理者の選択にはスーパー管理者権限を付与し、SYSMANアカウントでログインしない

- 強力なパスワード・プロファイルを有効にし、アプリケーション関連アカウントのパスワードを定期的に変更する

- 暗号化鍵を保護およびバックアップする

3.1.3 Oracle Management Agentの保護

エージェントのインストール時に高いセキュリティを確保するには、セキュアなSSHプロトコルを使用するEnterprise Managerの「エージェント・デプロイ」を使用してエージェントをデプロイする必要があります。ユーザーが認可されていないエージェントをインストールする可能性がなくなるよう、手動でエージェントをデプロイする場合、永続的な登録パスワードのかわりに、適切な有効期限のあるワンタイム登録パスワードを使用してください。登録パスワードは、コンソールで作成するか、emctl secure setpwdコマンドを使用して作成できます。

認可されていない変更を防ぐには、エージェントをOMSのインストールとは別のユーザーとしてインストールし、インストール後、sudoまたはPowerBrokerなどのこのアカウントへの偽装べースのアクセスのみをサポートします。

3.1.3.1 Oracle Management Agentを保護するためのベスト・プラクティス

- エージェントのインストールには、Enterprise Managerの「エージェント・デプロイ」方法を使用する

- 有効期限のあるワンタイム登録パスワードを使用する

- OMSまたはターゲットとは別のユーザーとしてエージェントをインストールする

注意:
リモート・サーバー上のエージェントは、そのサーバーにターゲットの個別のOSユーザーとしてインストールする必要がありますが、これは連鎖しているエージェントには適用されません。連鎖しているエージェントはOMSとともにインストールされるため、個別のユーザーとしてインストールすることはできません。

3.1.4 セキュアな通信

OMSとエージェントとの間の通信をセキュアにするには、ファイアウォール、OMSセキュアロック機能、TLSv1の有効化、強力な暗号スイートおよび証明書の有効化など、方法がいくつかあります。次の項では、これらについて詳細に説明します。

3.1.4.1 ICMPの有効化

エージェントが適切なタイミングまたは予期した間隔でアップロードまたは応答しなかった場合、Enterprise Managerは業界標準のInternet Control Message Protocol (ICMP)エコー・リクエストを使用して、ターゲット・ホスト・マシンの状態を確認します。ICMPが無効化されている場合、ターゲットは停止しているように見えます。不適切な停止ターゲット・アラートを防ぐには、ICMPを許可するようにファイアウォールを構成する必要があります。

ビーコンは、管理エージェントがサービスをリモートで監視できるようにするターゲットです。ビーコンは、常に1つ以上のサービスを監視できます。ICMPおよびユーザー・データグラム・プロトコル(UDP)をビーコン・ターゲット間でのデータ転送に使用して、監視しているサービスおよびネットワーク・コンポーネントをエージェントが監視するようにもできます。Webアプリケーション・コンポーネントとそれらのコンポーネントの監視に使用しているビーコンとの間に、ファイアウォールまたはACLがある場合、ICMP、UDPおよびHTTP通信を許可するように構成する必要があります。

3.1.4.2 Oracle Management Agentのファイアウォール用の構成

エージェントが配置されているホストがファイアウォールで保護されている場合、エージェントをプロキシを使用するように構成するか、ファイアウォールをOMSからの通信を受信するように構成する必要があります。ファイアウォールを構成するには、エージェントに割り当てられるポートを決定し、通信がHTTPであるかHTPSであるかを決定する必要があります。この情報は、emctl status agentを実行することで得られます。

プロキシを構成するには、Enterprise Managerコンソールを使用して「エージェント」のプロパティを編集するかemctl setproperty agentを実行して次のプロパティを設定し、エージェントを再起動します。すべての環境において、プロキシのレルム、ユーザーおよびパスワードは不要です。

$ emctl setproperty agent -name REPOSITORY_PROXYHOST -value proxy42.acme.com
$ emctl setproperty agent -name REPOSITORY_PROXYPORT -value 80
$ emctl setproperty agent -name REPOSITORY_PROXYREALM –value <value if needed>
$ emctl setproperty agent -name REPOSITORY_PROXYUSER –value <value if needed>
$ emctl setproperty agent -name REPOSITORY_PROXYPWD –value <value if needed>

3.1.4.3 Oracle Management Serviceのファイアウォール用の構成

Oracle Management Serviceがファイアウォール内にある場合、エージェントへのプロキシ通信やファイアウォールを介した通信の受信を可能にする構成が必要になります。

ファイアウォール内のエージェントが異なるドメインにある場合、プロキシをこれらのエージェントへの通信を許可し、dontProxyForパラメータを使用してファイアウォール内のエージェントを識別するように構成できます。管理サービスでプロキシを構成するには、emctl set propertyを使用して次のプロパティを設定します。すべての環境において、プロキシのレルム、ユーザーおよびパスワードは不要です。

$ emctl set property -name REPOSITORY_PROXYHOST -value proxy42.acme.com
$ emctl set property -name proxyPort -value 80
$ emctl set property -name dontProxyFor –value ”.acme.com, .acme.us.com”

メトリック・アップロードのためにエージェントからの通信の受信を許可するようにファイアウォールを構成するには、アップロード・ポートでHTTPまたはHTTPS通信を受け付けるようにファイアウォールを構成する必要があります。デフォルトのポートは、4889 (HTTP)および1159 (HTTPS)です。ポートがカスタマイズされている場合には、それらのポートを使用してください。

ブラウザとEnterprise Managerコンソールとの間にファイアウォールがある場合には、コンソールがポート7788または7799(デフォルト)を経由してHTTPまたはHTTPS通信を受信できるように、ファイアウォールを構成する必要があります。ポートは、コンソールをアクセスするURLを参照することで検証できます。

https://mgmthost.acme.com:7799/em

JVMD、APDおよびBIなどの追加コンポーネントのインストールには、さらにポート要件があります。たとえば、BI Publisherがインストールされた場合、レポート用のコンソールにアクセスするために追加のポートが必要になる場合があります。デフォルトのポートは、9702/9703 (http/https)です。詳細は、コンポーネント専用のドキュメントを参照してください。

ファイアウォール内で構成されたデータベース・ターゲットを管理するには、リスナー・ポート(通常1521ですが、カスタマイズされることが多い)でのOracle Net通信を許可する必要があります。Oracle Databaseのファイアウォール用の構成方法の詳細は、『Oracle Database 2日でセキュリティ・ガイド』を参照してください。

3.1.5 セキュリティ・コンソール

セキュリティ・コンソールはスーパー管理者のみが使用可能で、セキュリティ関連のすべての構成情報を1箇所で提供し、これによって管理された環境のセキュリティを表示、分析および最適化できます。セキュリティ・コンソールにアクセスするには、「設定」メニューから、「セキュリティ」を選択し、「セキュリティ・コンソール」を選択します。

「セキュリティ・コンソール」が最初に表示された際には、2つのメイン・ウィンドウ(左側にメニュー・ウィンドウ、右側に情報ウィンドウ)に分割されています。

「セキュリティ・コンソール」には、静的(テキスト)情報と動的情報の両方が含まれています。テキストは、簡単な要約コンテキストをデータに提供するものであり、ドキュメントの代替となるものではありません。

「セキュリティ・コンソール」は、次のセキュリティ領域に分類されます。

- 概要

- プラガブル認証

- ファイングレイン・アクセス制御

- セキュアな通信

- 資格証明管理

- 包括的な監査

- アクティブ・ユーザー・セッション数

- ベスト・プラクティス分析

3.1.5.1 概要

「概要」セクションでは、「セキュリティ・コンソール」の各カテゴリの概要を説明します。

3.1.5.2 プラガブル認証

「プラガブル認証」セクションは、さらに2つのタブに分類されます。「概要」タブと「構成」タブです。

3.1.5.2.1 「プラガブル認証」の「概要」

「概要」セクションには、ドキュメントのテキストが含まれますが、ドキュメントの代替となるものではありません。Enterprise Managerの認証は、Enterprise Managerにアクセスしようとするユーザーの妥当性を確認するプロセスです。認証機能は、Enterprise ManagerコンソールやEnterprise Managerコマンドライン・インタフェース(EM CLI)などの様々なインタフェースで使用可能です。Oracle Enterprise Manager 13cは外部認証方法についてWebLogic Serverに依存しています。同じ理由で、Enterprise Manager 13cは、Oracle WebLogic Serverでサポートされる認証方法を使用して認証できます。

また、このセクションでは、Enterprise Managerでサポートされている認証スキームを識別します(詳細は、第2章「セキュリティ機能」の「認証の構成」を参照してください)。

3.1.5.2.2 「プラガブル認証」の「構成」

このセクションには、認証に関連するエンタープライズ内の現在の構成情報が表示されます。

認証構成

認証モード: このパラメータは、Enterprise Manager環境に構成されている様々なプラガブル認証スキームに関する情報を提供します。

外部ユーザー・サポート有効: 外部ユーザー認証が有効かどうかを表示します。リポジトリ認証以外の認証を使用している場合は、「はい」を表示します。

サポートされている自動プロビジョニング: 自動プロビジョニングのステータスも表示されます。自動プロビジョニングにより、外部で認証されているユーザーはEnterprise Manager内に事前構成されなくても、Enterprise Managerにログインできるようになり、情報は認証アプリケーションから転送されます。これには、OMSプロパティのoracle.sysman.core.security.auth.autoprovisioningを設定する必要があります。詳細は、第2章「セキュリティ機能」の「外部ロールを使用した外部認可」を参照してください。

パスワード・プロファイル

管理者を作成する(「設定」→「セキュリティ」→「管理者」メニュー)際には、ユーザーがログイン時に使用するパスワード・プロファイルのタイプを入力します。この表は、様々なパスワード・プロファイルを割り当てられたEnterprise Manager内のユーザーの数を示しています。パスワード・プロファイルの詳細は、「ユーザー・アカウントの保護」を参照してください。

3.1.5.3 ファイングレイン・アクセス制御

Enterprise Managerはターゲットおよび他のリソースへのアクセスを制御する詳細な権限を実装し、管理者は職務を有効に分割できます。たとえば、プロビジョニングの設計担当者と運用担当者の職責について検討してみましょう。前者(ソフトウェア・ライブラリのコンポーネントの作成)は後者(デプロイメントの発行)よりも多くの職責を担っています。ファイングレイン・アクセス制御では、権限とロールおよび、それらがEnterprise Manager内の異なるアプリケーション、グループ、サービスおよびターゲットに対する様々なレベルのアクセス制御を提供するためにどのように機能するかについて説明します。システムにの最後にログインした管理者、その管理者に付与された権限とロールの数、およびロールと権限の適切な使用に関するベスト・プラクティスの推奨事項に関する情報は、このセクションで確認できます。

「ファイングレイン・アクセス制御」領域は、5つのタブ(「概要」タブ、「管理者」タブ、「権限」タブ、「ロール」タブおよび「権限の伝播の集計」タブ)に分類されます。

3.1.5.3.1 概要

すべてのシステムに対して同じレベルのアクセス権をすべての管理者に付与することは危険ですが、グループのすべての新規メンバーに数十、数百、場合によっては数千ものターゲットに対するアクセス権を個別に付与するのは時間のかかる作業です。Enterprise Managerの管理者の権限およびロール機能を使用すると、このタスクを何時間もかけずに数秒で実行できます。認可により、システム、ターゲットおよびオブジェクト・レベルの権限およびロールを介してEnterprise Managerによって管理されるセキュアなリソースへのアクセスを制御します。

この項では、ユーザー・クラス、およびユーザー・クラスごとに割り当てられるロールと権限などのEnterprise Managerの認可モデルについて説明します。この項の項目は次のとおりです。

- ユーザーのクラス

- 権限およびロール

3.1.5.3.2 ユーザーのクラス

Oracle Enterprise Managerでは、管理している環境や、Oracle Enterprise Managerを使用しているコンテキストに応じて、Oracleユーザーの様々なクラスをサポートしています。複数のカテゴリにわたって次の3人の管理者が存在します。

- スーパー管理者: Enterprise Manager環境のすべてのターゲットおよび管理者アカウントに対して完全なアクセス権限を持つ強力なEnterprise Manager管理者。スーパー管理者(SYSMAN)は、Enterprise Managerがインストールされる際にデフォルトで作成されます。スーパー管理者アカウントは、他のすべての管理者アカウントを管理でき、すべての管理者資格証明を設定できます。スーパー管理者は次のことができます。

- Enterprise Managerの権限およびロールの作成

- 電子メール構成の定義や通知のグローバル・ルールの定義など、Enterprise Managerの初期設定の実行

- Enterprise Managerへのターゲットの追加

- システムでの全ターゲットに対する全アクションの実行

- 管理者: 通常のEnterprise Manager管理者。

- リポジトリ所有者: 管理リポジトリ用のデータベース管理者です。このアカウントは、変更、複製または削除できません。

権限およびロール

ユーザー権限は、Enterprise Managerの基本レベルのセキュリティを提供します。権限は、ターゲット権限とリソース権限の2つのカテゴリに分けられます。

ロールとは、管理者や他のロールに付与できるEnterprise Managerのリソース権限またはターゲット権限、あるいはその両方の集合です。これらのロールは、地理的位置(カナダのシステムを管理するためのカナダの管理者用ロールなど)、業務系列(人事管理システムや販売システムの管理者用ロールなど)または他のモデルに基づいて作成できます。

- あらかじめ用意されているロール
Enterprise Manager Cloud Control 13cには、様々なリソースとターゲット・タイプを管理するためのロールがあらかじめ定義されて含まれています。

- 外部ロール
Enterprise Manager Cloud Control 13cは、外部ロールを定義することでActive Directoryなどの外部認可ソースと統合できます。

- プライベート・ロール

- デフォルトでスーパー管理者に付与されない安全な権限(FULL_CREDENTIALやFULL_JOBなど)は、プライベート・ロールに付与できます。

- プライベート・ロールをシステム・ロールに変換することはできません。プライベート・ロールの作成者は、そのライフ・サイクルを管理します。

- プライベート・ロールは、Enterprise Manageのコマンドライン・インタフェース(EMCLI)からWITH_ADMINオプションを使用して管理者に付与できるので、管理者は他の管理者に対してプライベート・ロールの付与または取消ができます。

3.1.5.3.3 ファイングレイン・アクセス・コントロール管理者

これは、Enterprise Manager内で現在作成されているすべての管理者をリストし、それらが最後にログインした日時もリストします。

3.1.5.3.4 ファイングレイン・アクセス・コントロール権限

これは、管理者に直接付与された権限の数が最も多い、上位5位の管理者をリストします。権限の数の多い管理者は、権限が効率的に使用されていないことを示しているので、かわりにロールを使用するようにします。管理者には、自身のタスクの実行に必要な最小数の権限を付与することをお薦めします。権限およびロールの詳細は、第2.2.3項「権限伝播グループを使用した権限の管理」を参照してください。

このセクションには、Enterprise Managerで使用可能なすべてのターゲット権限とリソース権限、権限が単一ターゲット、特定のターゲット、ターゲット・タイプに適用できるかどうか、その権限に別の権限が含まれているかどうかについても表示されます。

3.1.5.3.5 ファイングレイン・アクセス制御

このセクションはロール数が最も多い上位5位の管理者を表示し、ロール付与の数が多い場合には、効率的な管理を行うためにロールを統合するよう推奨し、非効率的なロール階層が示されます。

ここには、ネストされたロールが最も多いロールが表示されます。

3.1.5.3.6 ファイングレイン・アクセス制御権限の集計への伝播

集計ターゲットは、グループやシステムなどの1つ以上のメンバー・ターゲットで構成されるターゲットです。Enterprise Managerは、権限伝播メカニズムに基づいた2つのタイプの集計ターゲットをサポートします。

- 標準集計ターゲット: 集計ターゲットに権限を付与すると、表示権限のみがそのメンバーに伝播されます。

- 権限伝播集計ターゲット: 集計ターゲットに権限を付与すると、同じ権限がそのメンバーに伝播されます。

集計ターゲットのターゲット権限の場合、次の機能がサポートされます。

- 集計ターゲットへの権限付与とそのメンバー間の区別

- メンバーに同じ権限を伝播するデフォルトの既存の動作に加えて、ユーザーは集計ターゲットの権限付与とメンバーの権限付与を選択できます。ユーザーはメンバーに対する権限を持たないということも選択できます。

- 非権限伝播集計ターゲットでは、表示権限のみがデフォルトでメンバーに付与され、権限伝播集計ターゲットでは、管理者が指定するいかなる権限も適切に付与されます。

- この機能は、ユーザー・インタフェースのユーザーとロール管理ページおよびターゲット・アクセス・ページから使用できます。表の詳細な権限を表示するには、これらのページの「ターゲット権限」表の上の「詳細な権限設定」ボタンをクリックします。

- この新機能に対しても、EM CLIサポートを使用できます。使用状況の詳細は、既存の関連する動詞のEM CLIヘルプを確認してください。

特定の管理者に対するターゲット権限について、次のスナップショットを考えてみます。

- 「ターゲット権限付与の管理」列の下にリストされている権限をグループおよびメンバーに適用できます。

- 「集計専用の権限付与の管理」列の下にリストされている権限をグループのみに適用できます。

- 「メンバー専用の権限付与の管理」列の下にリストされている権限をメンバーのみに適用できます。

- 次の例では、PPG_DB_group1はデータベース・ターゲットの権限伝播グループです。PPG_HOST_group2はホスト・ターゲットの権限伝播グループです。NORMAL_group1は非権限伝播グループです。

表3-1 ターゲット権限および権限の伝播

名前

タイプ

ターゲット権限付与の管理

集計専用の権限付与の管理

メンバー専用の権限付与の管理

PPG_DB_group1

グループ

表示

ターゲットの構成

ブラックアウト・ターゲット

PPG_HOST_group2

グループ

なし

ターゲットの構成

なし

NORMAL_group1

グループ

なし

ブラックアウト・ターゲット

表示

NORMAL_group1

ホスト

ホスト

適用なし

適用なし

- 上の表の最初の行を考えてみます。この構成は、特定のユーザーがグループPPG_group1およびメンバーの表示権限を持っていることを意味します。これとともに、グループPPG_group1にのみターゲットの構成権限があり、メンバーにのみブラックアウト・ターゲット権限があります。つまり、画像の現在のユーザーはグループPPG_group1のメンバーにブラックアウトを作成できますが、グループ自体に実行できず、PPG_group1を構成できますが、メンバーを構成できないことを意味します。ユーザーはグループおよびメンバーを表示できます。

- 2番目の行を考えてみます。PPG_HOST_group2は権限伝播グループです。この構成は、特定のユーザーに、グループPPG_group2のみに対するターゲットの構成権限があり、メンバーには表示権限もないことを意味します。

- 3番目の行では、ユーザーにグループに対するブラックアウト・ターゲット権限およびメンバー対する表示権限がある、非権限伝播グループを確認できます。

- ホスト・ターゲットなどの非集計ターゲットの場合に2つの新しい拡張権限列値を適用できないことに注意してください。

前述した機能は一般的にすべての集計ターゲットに適用できることに注意してください。前述の例は、集計ターゲット・タイプ(グループ)の1つを示しています。

3.1.5.4 セキュアな通信

この項では、Enterprise Manager内で使用されるセキュアな通信の条件とプロトコルについての概要を示します。保護されたEnterprise Managerコンポーネントの現在のステータス、それらの証明書問題および詳細について表示できます。

3.1.5.4.1 セキュアな通信の概要

Enterprise Manager Framework Securityは、次のようなEnterprise Managerコンポーネント間のセキュアな接続を実装します。

- 管理サービスと管理エージェントの間の通信用の署名されたデジタル証明書も含む、HTTPSおよび公開鍵インフラストラクチャ(PKI)コンポーネント。

- 管理サービスと管理リポジトリの間の通信のためのOracle Advanced Security。

3.1.5.4.2 Oracle Management Serviceのセキュリティの有効化

管理サービスに対してEnterprise Manager Framework Securityを有効にするには、emctl secure omsユーティリティを使用して、次のアクションを実行します。

- 管理リポジトリ内にルート鍵を生成します。ルート鍵は、管理エージェントに対する一意のデジタル証明書を含むOracle Walletの配布時に使用されます。

- Web層を変更し、管理サービスと管理エージェント間のHTTPSチャネルを有効化します。

- Enterprise Manager Framework Securityを使用した管理エージェントからのリクエストを管理サービスが受諾できるようにします。

3.1.5.4.3 Oracle Management Agentの保護

ホストに管理エージェントをインストールする際は、管理エージェントによって使用される管理サービスを指定する必要があります。管理エージェントに対してEnterprise Manager Framework Securityを有効にするには、emctl secure agentユーティリティを使用します。

3.1.5.4.4 管理サービスへのHTTPアクセスの制限

管理サービスのHTTPSチャネルを使用するセキュアな管理エージェント・インストールのみが、管理リポジトリにデータをアップロードでき、Cloud ControlコンソールにはHTTPS経由でのみアクセス可能にすることが重要です。

3.1.5.4.5 エージェント登録パスワードの管理

Enterprise Managerでは、Oracle Management AgentのインストールがデータをOracle Management Serviceにロードする権限を持つことを検証するために、エージェント登録パスワードを使用します。

エージェント登録パスワードは、Oracle Management Serviceに対してセキュリティが有効な場合、インストール時に作成されます。Enterprise Managerコンソールから登録パスワードを直接追加、編集、削除できます。

3.1.5.4.6 管理リポジトリ・データベースのセキュリティの有効化

管理リポジトリのセキュリティはOracle Advanced Securityを使用して有効にします。

3.1.5.4.7 セキュアな通信の現在の構成

エージェントの証明書詳細: セキュアなエージェントをその証明書の詳細(アルゴリズム、強度、作成時期、有効期限、エージェントが保護された時期など)とともに表示します。

保護されていないエージェント数: エンタープライズ内で、現在セキュアでない操作を行っているエージェントの数を示します。

期限が切れている登録パスワード数: 証明書の有効期限が切れたために実行を停止したエージェントの数を示します。

認証局の詳細: Enterprise Managerのインストール内で使用されている証明書をリストします。

OMSのセキュアな構成: Enterprise Manager構成およびManagement Servicesとの通信の詳細を表示し、コンソールおよびアップロード証明書詳細を含むそれぞれのセキュアな構成詳細をSLB詳細とともに示します。

3.1.5.4.8 データベースの暗号化構成

OMSと管理リポジトリ/ターゲット・データベースの間の暗号化の構成詳細は、次のようになります。クライアントがサポートしている暗号化アルゴリズムとチェックサム・アルゴリズムのリストを次に示します。詳細は、前述の「管理リポジトリ・データベースのセキュリティの有効化」の項を参照してください。

サポートされている暗号化アルゴリズム: サポートされているすべての暗号化アルゴリズムの詳細をリストします。

使用中の暗号化アルゴリズム: 現在使用されているアルゴリズムをリストします。

サポートされているチェックサム・アルゴリズム: 現在サポートされているチェックサム・アルゴリズムをリストします。それらはMD5とSHA1です。

使用中のチェックサム・アルゴリズム: 現在使用されているアルゴリズムをリストします。

3.1.5.5 資格証明管理

ユーザー名やパスワードなどの資格証明は、通常、データベース、アプリケーション・サーバーおよびホストなどのターゲットにアクセスする際に必要です。資格証明は暗号化され、Enterprise Managerに保存されます。Enterprise Manager 13c以降、基本のユーザー名/パスワード以外に、PKI、SSH鍵、Kerberosなどの強力な認証スキームが資格証明サブシステムでサポートされます。ジョブ、デプロイメント・プロシージャおよび他のEnterprise Mangerサブシステムで使用されるSSH鍵ベースのホスト認証は現在サポートされます。

適切な資格証明を使用することにより、次が可能になります。

- バックグラウンドおよびリアルタイムでのメトリックの収集

- バックアップ、パッチ適用、クローニングなどのジョブの実行

- 起動および停止などのリアルタイムのターゲット管理の実行

- My Oracle Supportへの接続

資格証明はその使用方法に基づいて、次のカテゴリに分類できます。

- 名前付き資格証明

- 監視資格証明

- 優先資格証明

資格証明管理の現在の構成

暗号化鍵: 暗号化鍵は、リポジトリに格納されているパスワードや優先資格証明などの機密データの暗号化/復号化に使用されるマスター・キーです。鍵は最初にリポジトリに格納され、最初のOMSのインストール時にリポジトリから削除され、Fusion Middlewareで管理される資格証明ストアにコピーされます。

資格証明管理の使用状況統計

「使用状況統計」タブでは、資格証明の使用状況の情報を表示します。

3.1.5.6 包括的な監査

包括的な監査では、現在の監査可能な操作およびそれらがディスクへの外部バックアップ用に構成されているかどうかを表示します。最も使用されている操作および最もアクティブな管理者の上位5位の統計も表示されます。

ユーザーの作成、権限の付与、パッチ適用またはクローニングのようなリモート・ジョブの開始などのEnterprise Manager管理者が実行するすべての操作を監査して、サービス組織の請け負った内部統制の準拠を確認する必要があります。

非拒否は監査の原則です。Enterprise Managerの包括的な監査は、すべての重要な操作の改ざんされていない監査証跡を提供します。

「使用状況」タブでは次のことを表示できます。

- 現在の監査構成

- 特定の監査操作

- 監査の使用状況統計(過去7日間の上位5位の操作および過去7日間の上位5位の管理者)

3.1.5.7 アクティブ・ユーザー・セッション数

アクティブ・ユーザー・セッション数では、セッション・タイムアウト、1ユーザー・アカウント当たりの最大セッション数、1ユーザー・アカウント当たりのアクティブ・セッション数などのセッション管理に関連する情報を表示します。

すべての認証されたオープンなユーザー・セッションがこの領域に表示されます。

「アクティブ・ユーザー・セッション数」領域から、次の情報を表示できます。

- セッション設定(セッション・タイムアウト、ユーザーごとに許可されるセッションの最大数、許可された数のアクティブ・セッション)

- アクティブ・セッション

3.1.5.8 ベスト・プラクティス分析

前述のカテゴリでの情報の監視に基づいて、ベスト・プラクティス・アドバイスがこのセクションに示され、リポジトリ暗号化鍵の管理、監査操作管理などの領域について説明します。推奨されたOracleセキュリティ・プロトコルのEnterprise Managerセキュリティ構成の準拠を迅速に表示できます。また、推奨されるベスト・プラクティスは、Enterprise Manager環境の固有な条件に基づいて提供されます。

「ベスト・プラクティス分析」領域から、次のことを表示できます。

- プラガブル認証: 環境のプラガブル認証スキームに応じて調整されたベスト・プラクティス・アドバイス。

- ファイングレイン・アクセス制御: ロールおよび権限管理に関するベスト・プラクティス・アドバイス。

- セキュアな通信: 管理サービス、エージェントおよびEnterprise Managerコンソール間のセキュアな通信に関するベスト・プラクティス。

3.2 SSL通信のガイドライン

この項では、次のSSLのガイドラインについて説明します。

- TLSv1プロトコルの構成

- 通信のセキュアロック・モード

- 脆弱な暗号の無効化

3.2.1 TLSv1プロトコルの構成

OMSおよびエージェントを、SSL v3の後継プロトコルであるTLS v1プロトコルのみを通信用にサポートするように構成することをお薦めします。デフォルトでは、OMSはSSLv3プロトコルとTLSv1プロトコルの両方を受け付ける混合モードで構成されています。

OMSをTLS v1プロトコル専用に構成するには、次のようにします。

1. 次のコマンドを入力してOMSを停止します。

<OMS_ORACLE_HOME>/bin/emctl stop oms

2. 次のコマンドを入力します。

<OMS_ORACLE_HOME>/bin/emctl secure oms -console -protocol TLSv1

3. Domain_Home/bin/startEMServer.shのJAVA_OPTIONSに次のように追加します。このプロパティがすでに存在する場合、値をTLS1に更新します。

-Dweblogic.security.SSL.protocolVersion=TLS1

4. 次のコマンドを入力してOMSを再起動します。

$ emctl start oms

エージェントがサーバーとしてリスニングする間TLS v1プロトコルのみをサポートするようにエージェントを構成するには、Enterprise Managerコンソールでエージェントのプロパティを編集するか、コマンドラインでemctl setpropertyを使用します。複数のエージェントを一度に編集するには、「設定」→「エージェント」の順に進み、変更するエージェントを選択して「プロパティ」をクリックします。これによりジョブが作成され、「パラメータ」ページでエージェントのプロパティ変更を指定できます。この変更は、選択されたすべてのエージェントに適用されます。コマンドラインを使用するには、次のように実行します。

$ emctl setproperty agent -name allowTLSOnly -value true

3.2.2 通信のセキュアロック・モード

3.2.2.1 OMSとエージェントの保護およびロック

Oracle Management ServiceおよびOracle Management Agentは、非セキュア(HTTP)モードまたはセキュア(HTTPS)モードで実行できます。デフォルトのインストールではOMSを自動的にセキュアロックするため、常にセキュア・モードを使用することをお薦めします。セキュアロック・モードでは、エージェントがHTTPSポートのみ(HTTPポートはロック)を介して通信することを必要とする点で、一歩先に踏み込んだセキュリティを実現できます。そのため、OMSとエージェントとの通信が常に暗号化され互いに認証されます。セキュアではないエージェントからのリクエストはすべて、OMSにより拒否されます。同様に、OMSからのセキュアではないリクエストは、エージェントにより拒否されます。これは、インフラストラクチャ内から発生する悪質な「介在者」による攻撃から管理システムを保護するうえで役立ちます。

インストールがOracle Enterprise Manager 10gリリース5よりも前に行われた場合、OMSを手動でセキュアロックする必要がある場合があります。アップグレードの場合、アップグレード前の環境が保護されていれば、アップグレードはセキュア・モードに留まりますが、OMSをセキュアロックしません。アップグレード前の環境がすでにセキュアロックされている場合には、アップグレードはOMSとエージェントの間でセキュアロック・モードに留まります。

OMSのセキュア状態をチェックし、OMSとエージェントとの間の通信をセキュアロックするには、次のコマンドを実行しOMSを再起動します。

$ emctl status oms –details
Oracle Enterprise Manager Cloud Control 13c Release 12.1.0.3.0
Copyright (c) 1996, 2013 Oracle Corporation. All rights reserved.
Enter Enterprise Manager Root (SYSMAN) Password :
Console Server Host : mgmthost.acme.com
HTTP Console Port : 7790
HTTPS Console Port : 7803
HTTP Upload Port : 4890
HTTPS Upload Port : 4904
OMS is not configured with SLB or virtual hostname
Agent Upload is locked.
OMS Console is locked.
Active CA ID: 1
Console URL: https://mgmthost.acme.com:7803/em
Upload URL: https://mgmthost.acme.com:4904/empbs/upload
…

$ emctl secure lock –upload
Oracle Enterprise Manager Cloud Control 13c Release 12.1.0.3.0
Copyright (c) 1996, 2013 Oracle Corporation. All rights reserved.
Enter Enterprise Manager Root (SYSMAN) Password :
Agent Upload is locked. Agents must be secure and upload over HTTPS port. Restart OMS.

OMSがセキュアロック・モードで実行を始めると、セキュアではないエージェントはOMSにデータをアップロードできなくなります。ステータスを確認し、エージェントの問題を保護するには次のコマンドを実行します。ここで、登録パスワードが求められます。

$ emctl status agent –secure
Oracle Enterprise Manager 13c Cloud Control 12.1.0.1.0
Copyright (c) 1996, 2013 Oracle Corporation. All rights reserved.
Checking the security status of the Agent at location set in /scratch/cllamas/oracle/em12/agent/agent_inst/sysman/config/emd.properties... Done.
Agent is secure at HTTPS Port 3872.
Checking the security status of the OMS at https://mgmthost.acme.com:4904/empbs/upload/... Done.
OMS is secure on HTTPS Port 4904

$ emctl secure agent
Oracle Enterprise Manager 13c Cloud Control 12.1.0.1.0
Copyright (c) 1996, 2013 Oracle Corporation. All rights reserved.
Agent successfully stopped... Done.
Securing agent... Started.
Enter Agent Registration Password :
Agent successfully restarted... Done.
EMD gensudoprops completed successfully
Securing agent... Successful.

SSLまたはTSLを介したクライアント・ブラウザからのコンソール・アクセスが確実にセキュアであるようにするには、コンソールもロックされている必要があります。Oracle Enterprise Manager 10gリリース5からは、インストールはデフォルトでセキュアロックされています。アップグレードの場合、アップグレード前の環境がセキュアロックされていなければ、アップグレード後に次のコマンドを実行してコンソール・アクセスをセキュアロックする必要があります。

$ emctl secure lock –console

3.2.3 脆弱な暗号の無効化

暗号スイートは、認証、キー・アグリーメント、暗号化、整合性保護に使用されるセキュリティ・アルゴリズムと鍵サイズを定義する暗号パラメータの組合せです。暗号スイートは、通信の整合性を保護します。たとえば、RSA_WITH_RC4_128_MD5という暗号スイートは、鍵交換にRSA、バルク暗号化に128ビット鍵のRC4、メッセージ・ダイジェストにMD5を使用します。Enterprise Managerでは、OMSとエージェントとの間の通信に強力な暗号スイートが使用可能です。デフォルトでは、エージェントでの通信に次の暗号スイートが使用可能です。

- SSL_RSA_WITH_RC4_128_MD5

- SSL_RSA_WITH_RC4_128_SHA

- SSL_RSA_WITH_3DES_EDE_CBC_SHA

- SSL_RSA_WITH_DES_CBC_SHA

- SSL_RSA_EXPORT_WITH_RC4_40_MD5

- SSL_RSA_EXPORT_WITH_DES40_CBC_SHA

現在有効になっている暗号スイートを確認するには、Enterprise Managerコンソールでエージェントのプロパティを表示するか、次のコマンドを実行します。

$ emctl getproperty agent -name SSLCipherSuites
Oracle Enterprise Manager 13c Release 1 12.1.0.1.0
Copyright (c) 1996, 2013 Oracle Corporation. All rights reserved.
SSLCipherSuites is unset; default value is SSL_RSA_WITH_RC4_128_MD5:SSL_RSA_WITH_RC4_128_SHA:SSL_RSA_WITH_3DES_EDE_CBC_SHA:SSL_RSA_WITH_DES_CBC_SHA:SSL_RSA_EXPORT_WITH_RC4_40_MD5:SSL_RSA_EXPORT_WITH_DES40_CBC_SHA

強力な暗号スイートがエージェントのSSLまたはTLS通信に使用されるように構成するには、Enterprise Managerコンソールでエージェントのプロパティを編集するか、次のようにsetpropertyコマンドを使用します。

$ emctl setproperty agent -name SSLCipherSuites -value <values>

サポートされる強力な暗号スイートは次のとおりです。

- SSL_RSA_WITH_AES_128_CBC_SHA

- SSL_DH_anon_WITH_3DEC_EDE_CBC_SHA

- SSL_DH_anon_WITH_RC4_128_MD5

- SSL_DH_anon_WITH_DES_CBC_SHA

- SSL_RSA_WITH_RC4_128_MD5

- SSL_RSA_WITH_RC4_128_SHA

- SSL_RSA_WITH_3DES_EDE_CBC_SHA

OMSに使用される強力な暗号スイートを制限するには、$INSTANCE_HOME/WebTierIH1/config/OHS/ohs1/httpd_em.confファイルをおよびssl.confファイルのSSLCipherSuiteパラメータを適切な値で編集してください。デフォルトの値は次のとおりです。

- „h SSL_RSA_WITH_RC4_128_MD5

- SSL_RSA_WITH_RC4_128_SHA

- SSL_RSA_WITH_3DES_EDE_CBC_SHA

- SSL_RSA_WITH_DES_CBC_SHA

- TLS_RSA_WITH_AES_128_CBC_SHA

- TLS_RSA_WITH_AES_256_CBC_SHA

3.2.3.1 サード・パーティの証明書

よく知られた認証局(CA)からの証明書を使用し、異なる有効期間および鍵サイズのよく知られた信頼できる証明書を活用して、OMSとエージェントとの間の通信およびコンソール・アクセスを保護します。

3.2.3.2 Oracle Wallet

Oracleはウォレットの概念を導入していますが、ウォレットとは、認証および署名資格証明(秘密鍵、証明書、SSLで必要な信頼できる証明書など)の格納に使用されるパスワード保護されたコンテナです。

カスタムの認証局を使用してコンソールを保護するには、ウォレット・ロケーションを作成し、そのウォレット・ロケーションに対してコンソールを保護する必要があります。ウォレットの作成方法の詳細は、『Oracle Fusion Middleware管理者ガイド』を参照してください。

3.2.3.2.1 Oracle Walletの作成

次の例で、証明書を作成してOracleウォレットに追加する方法を示します。

1. ウォレット・コンテナを作成します。

注意:
現在、サポートされるのはシングル・サインオン(SSO)のウォレットのみです。

S /u01/app/oracle/middleware/oracle_common/bin/orapki wallet create -wallet /home/oracle/labs/mywallet -auto_login_only

2. ウォレットに証明書を追加します。ウォレットを作成する際、共通名(CN)をOMSがインストールされているマシンのホスト名またはSLB名(OMSがSLBの背後にある場合)として指定する必要があります。OMSがSLBの背後にある次の例では、test.example.comです。

S /u01/app/oracle/middleware/oracle_common/bin/orapki wallet add -wallet /home/oracle/labs/mywallet -dn 'CN=test.example.com, OU=Oracle, O=Oracle University, L=Boise, ST=ID, C=US' -keysize 2048 -self_signed -validity 3650 -auto_login_only

3. 既存のWebLogicドメインに必要な環境変数を設定します。orapkileを使用する前に設定する必要があります。

$ . setDomainEnv.sh

4. ウォレットで証明書を確認します。

S /u01/app/oracle/middleware/oracle_common/bin/orapki wallet display -wallet /home/oracle/labs/mywallet

3.2.4 通信を保護するためのベスト・プラクティス

次に、通信を保護するためのベスト・プラクティスの概要を示します。

• pingチェック検証用にICMPを有効にする

• ファイアウォールを使用環境に合せて構成する

• OMSとエージェントを保護およびロックする

• OMSとエージェントに強力な暗号スイートを構成する

• サード・パーティ証明書によりアップロードおよびコンソール仮想HTTPSホストを保護する

3.3 認証のガイドライン

3.3.1 外部認証の有効化

Enterprise Manager Cloud Control 13cには、認証の方法が複数あります。事前定義された方法に加えて、カスタマイズされたプロバイダまたはモジュールをCloud Controlの認証にプラグインできます。デフォルトのシステム認証の方法は、標準のリポジトリ・ベースの認証です。事前定義済の方法にはさらに次のものがあります。

- Oracleシングル・サインオン(OSSO)

- エンタープライズ・ユーザー・セキュリティ(EUS)

- Oracle Access Managerシングル・サインオン(OAM SSO)との統合

- ダイレクトなLDAP統合(Oracle Internet Directory、Microsoft Active Directory)

事前定義済プロバイダを使用してEnterprise Managerを構成する方法の詳細は、「認証の構成」を参照してください。

拡張された認証モジュールのいずれかを使用することで、エンタープライズ全体にわたる一元的なアイデンティティ管理を利用できます。こうすることで、パスワードのセキュリティ・コンプライアンス、パスワード変更およびリセットについて、外部のアイデンティティ管理システムに依存できるようになります。外部認証を使用してEnterprise Managerでユーザーを作成するには、作成時に「外部」フラグを選択します。Enterprise Managerでの各新しいユーザーの作成の間、Oracle Access Manager (OAM)、LDAPまたはOracle Internet Directory (OID)などの外部のアイデンティティ・ストアを介すか、または内部的にEnterprise Managerリポジトリを介すかについて、認証のユーザー・モードを決定するように求められます。

アイデンティティ管理システムからアカウントが削除されると、Enterprise Managerでは認証しなくなりますが、手動で削除する必要があります。アイデンティティ管理システムからユーザーが削除されたら、スクリプトまたはジョブを実行して、Enterprise Managerからユーザーを削除することが理想的です。

外部認証を使用した場合、Enterprise Managerではアイデンティティ管理システム・グループに名前でマッピングされる、外部ロールを作成できます(Enterprise Managerロール「DBA」はLDAPグループの「DBA」にマッピングされます)。そのため、外部グループ・メンバーシップに基づいた同期ユーザー・アクセスおよび権限が可能です。

ターゲット認証では、Enterprise Managerを介して管理されたホスト、データベースまたはアプリケーション・ターゲットへのアクセスが可能になります。強力なターゲット認証方法、名前付き資格証明を使用して、データベース・パスワード・プロファイルを構成することは、セキュアなターゲット認証を確保する数少ない方法です。

ターゲットと認証のセキュリティを確保するには、強力なホストおよびデータベース認証方法を選択します。ターゲット・アクセスの資格証明は暗号化され、Enterprise Managerに保存されます。Enterprise Manager Cloud Control 13cでは、現在、ホスト用のSSH鍵やデータベース用のKerberosチケットなどの強力な認証がサポートされています。これらの資格証明は、ジョブ、デプロイメント・プロシージャおよび他のサブシステムで使用できます。

3.3.1.1 認証のベスト・プラクティス

- エンタープライズ全体にわたる認証用の企業アイデンティティ管理システムと統合する

- 外部ロールを使用して、外部グループ・メンバーシップに基づいてユーザーに権限を自動的に割り当てる

- EMCLIを使用して外部グループ・メンバーシップに基づいてユーザーの作成または削除を自動化する

- 強力な認証方法(ホストにはSSH、データベースにはKerberos)を使用する

- ローカル・アカウントに対しては、パスワード・ポリシーを設定する

3.4 認可のガイドライン

認可は、認証されたサブジェクトの権限と許可を検証する行為です。認可の悪用を避けるため、職務の分離のポリシーを実装する必要があります。つまり、関連する複数の機能に対する職責を1人のユーザーに与えないことです。

会社内のEnterprise Managerユーザーには幅広い人材がいて、異なるロールや目的を持っています。

Enterprise Manager 13cには、種々の操作ロール用のロール・ベース認証を提供する、あらかじめ用意されているロールがいくつかあります。パッチ適用、プロビジョニング、クラウド、コンプライアンスおよびプラグインのための、オペレータ、デザイナおよび管理者の分離機能を使用すると、粒度のより高いユーザーの認証が可能になります。「類似作成」機能を使用すると、必要に応じて操作をさらに強化または制限できます。

注意:
既存のロールに対して「類似作成」操作を実行すると、新たに作成されたロールに元のロールのすべての権限を含めることができます。

ロール・ベース・アクセス制御(RBAC)を使用すると、権限の管理が容易になります(ロール付与の管理の方が権限付与の管理よりも簡単です)。あらかじめ用意されているロールの完全なリストは、『Oracle Enterprise Manager Cloud Control管理者ガイド』の権限とロールに関する項を参照してください。

Enterprise Manager 13cには、ターゲット権限およびリソース権限を指定する機能があります。ターゲット権限では、管理者はターゲットに対する操作を実行できます。新しいターゲット権限の一部としては、「表示可能な任意のターゲットに接続」、「任意の場所でのコマンドの実行」、「任意のエージェントとしてコマンドを実行」などがあります。ターゲット権限は、すべてのターゲットにも特定のターゲットにも適用できます。リソース権限では、Enterprise Managerの機能、ボタンまたはページへのアクセス権を付与します。新しいリソース権限の一部には、「バックアップ構成」、「クラウド・ポリシー」、「コンプライアンス・フレームワーク」、Enterprise Managerプラグイン、「ジョブ・システム」、「パッチ計画」、「自己更新」および「テンプレート・コレクション」があります。完全なリストは、「権限とロール認可の構成」を参照してください。これらの新しい権限を使用すると、職務と一致するファイングレイン権限が割り当てられた特定のロールを作成することによって、最低限の権限の原則の実装がさらに簡単になります。

強化された監査システムでは、定期的に付与される権限を容易に監視でき、どのユーザーがどの権限を行使したかを追跡できます。主な権限に関連する監査可能なアクションは次のとおりです。

- ジョブ権限の付与

- 権限の付与

- ロールの付与

- ターゲット権限の付与

- システム権限の付与

- ジョブ権限の取消し

- 権限の取消し

- ロールの失効

- ターゲット権限の取消し

- システム権限の取消し

スーパー管理者は、ターゲット、レポート、テンプレートまたはジョブに対する完全な権限を持ちます。これらのユーザーは、他のユーザーおよびスーパー管理者を作成し、他のユーザーに対して権限の付与または取消しができる唯一のユーザーとなります。スーパー管理者権限は、慎重に付与する必要があります。次の問合せを使用して、スーパー管理者のリストを取得します。

SELECT grantee FROM MGMT_PRIV_GRANTS WHERE PRIV_NAME = &rsquor;SUPER_USER'

3.4.1 権限およびロールの管理のベスト・プラクティス

- ユーザーに権限を付与するのではなく、意味のあるロールを作成し、ロールをユーザーに付与する。

- ファイングレイン権限またはロールを必要なときのみ付与することによって、職責の実行を必要とするユーザーに最小セットの権限のみを付与する。

- 完全な監視およびアカウンタビリティを実現するため、権限およびロールのアクションを監査する。

- スーパー管理者の人数を制限する。

3.4.2 最低限の権限の原則を使用したロール/権限の定義

Enterprise Managerに用意されている粒度の高い権限では、最低限の権限の原則を実装できます。この原則では、管理者は正当な目的で必要とされる情報またはリソースにのみアクセスできるようにすることを推奨しています。

3.4.3 権限伝播グループの使用

グループおよびシステムを使用してターゲットを編成すると、セキュリティ管理のオーバーヘッドを削減するうえで役立ちます。Enterprise Manager 13cには、権限の管理や認可を簡素化するうえで役立つ2種類のグループがあります。ロールをユーザーではなくグループに付与し、権限伝播グループを使用することで、直接の付与を減らし、ユーザーが必要に応じてターゲットにアクセスできるようにできます。

権限伝播グループを使用すると、割り当てられた権限をグループのすべてのメンバーに伝播することによって、グループ管理に伴う権限の割当て、取消しおよび管理が容易になります。たとえば、1人のユーザーに権限伝播グループSalesへのアクセス権が付与されると、メンバーはグループ内のすべてのターゲットへのアクセス権が得られます。

管理グループは、グループへの結合時にターゲットに対する監視設定の適用を自動化する権限伝播グループです。ターゲットはグループに直接割当てできませんが、メンバーシップ基準に基づいて自動的に追加されます。

システムも権限伝播であり、特定のアプリケーションまたは機能の関連ターゲットをすべて1つのシステムにグループ化できます。

3.4.3.1 グループおよびシステムのベスト・プラクティス

- ユーザーに権限を付与するのではなく、意味のあるロールを作成し、ロールをユーザーに付与する。

- ファイングレイン権限またはロールを必要なときのみ付与することによって、職責の実行を必要とするユーザーに最小セットの権限のみを付与する。

- 権限伝播グループおよびシステムを使用して、管理のオーバーヘッドを削減する

3.5 監査のガイドライン

Enterprise Managerには、アクセスされたジョブおよび資格証明を含む、Enterprise Managerで実行されたインフラストラクチャのアクションの追跡と検証に利用できる監査機能が追加されています。Enterprise Manager 13cでは、基本監査およびインフラストラクチャ監査がデフォルトで有効になっています。

監査対象操作のサブセットに対する監査を有効にするには、次のEMCLI動詞を使用してください。

$ emcli update_audit_settings -audit_switch="ENABLE/DISABLE" -operations_to_enable="name of the operations to enable,for all operations use ALL" -operations_to_disable="name of the operations to disable, for all operations use ALL"

たとえば、ログオンまたはログオフのみを監査するには、次のように実行します。

$ emcli update_audit_settings –audit_switch=”ENABLE” –operations_to_enable=”LOGIN;LOGOUT”

Enterprise Managerにより監査された操作のリストは、「監査の構成と管理」の項を参照してください。

Enterprise Manager 13cには、150個を超える監査用オプションがあります。次のコマンドを実行すると、Enterprise Managerで監査できる操作のリストが表示されます。

$ emcli show_operations_list

次に、このコマンドを実行した場合の出力例を示します。

$ ./emcli show_operations_list
Operation ID                      Operation Name               Infrastructure Operation
ADD_AGENT_REGISTRATION_PASSWORD   Add Registration Password         NO
ADD_CS_TARGET_ASSOC               Add Standard-Target Association   NO
AGENT_REGISTRATION_PASSWORD_USAGE Registration Password Usage       NO
AGENT_RESYNC                      Resync Agent                      NO
AG_AUD_CREATE                     Create Administration Groups      NO
AG_AUD_DELETE                     Delete Administration Groups      NO
AG_AUD_MODIFY                     Modify Administration Groups      NO
APPLY_TEMPLATE                    Apply Monitoring Template         NO
APPLY_UPDATE                      Apply Update                      YES
ATTACH_MEXT                       Attach Metric Extension           NO

監査が有効化されると、監査レコードがリポジトリのMGMT$AUDIT_LOGビューに保持されます。Enterprise Manager Cloud Controlコンソールを使用して、監査データをスーパー管理者権限を持つユーザーとして監視します。「設定」→「セキュリティ」→「監査データ」の順にクリックします。

EMCLI動詞update_audit_settingsによる外部化サービスでは、監査データがリポジトリから外部ファイル・システムへ定期的に外部化されます。ディレクトリに監査ログ・ファイル用の十分な領域があることを確認してください。

$ emcli update_audit_settings -file_prefix=<file_prefix> -directory_name=<directory_name> -file_size = <file size> -data_retention_period=<period in days>

次の例では、監査データが14日間リポジトリに保持され、このデータがエクスポート後にgc12_auditの接頭辞が付いたファイル名でデータベース・ディレクトリAUDITに対応するOSディレクトリに保存され、ファイル・サイズはそれぞれ50Mバイトになることを示しています。

$ emcli update_audit_settings -externalization_switch=ENABLE -file_prefix=gc12_audit -directory=AUDIT -file_size=50000000 -data_retention_period=14

外部化済監査データが保存されたディレクトリへのアクセスを制限することによって、職務の分離を実現します。Enterprise Managerのユーザーは、外部化済監査データへのアクセス権を持つことはできません。

3.5.1 監査のベスト・プラクティス

- 監査レビュー・スケジュールを設定したり、通知またはアラート用のAudit Vaultなどの監査ツールと統合して監査プロセスを形式化する。

- 監査サービスを外部化し、作成したファイルを保護する。

3.6 ターゲット資格証明の管理のガイドライン

優先資格証明を使用すると、管理リポジトリ内にターゲットのログイン資格証明を格納することによって、管理対象ターゲットへのアクセスが簡素化されます。ユーザーは、これらの資格証明を認識するEnterprise Managerターゲットに、ログインを要求されずにアクセスできます。優先資格証明はユーザー単位で設定されるため、管理対象のエンタープライズ環境のセキュリティを確保できます。デフォルトの資格証明は、特定のターゲット・タイプ、および特定のターゲット用のターゲット資格証明にも設定できます。ターゲット資格証明は、デフォルトの資格証明より優先されます。

SYSMANなどのグループまたは共通アカウントに優先資格証明を設定しないでください。共通アカウントに優先資格証明が設定された場合、これらの資格証明の使用のアカウンタビリティは失われます。次のSQL文を使用して、優先資格証明セットを持つユーザーのリストをレポートできます。

SELECT t.target_name,tc.user_name,tc.credential_set_name FROM MGMT_TARGET_CREDENTIALS tc, MGMT_TARGETS t WHERE tc.target_guid=t.target_guid

SELECT t.target_name,tc.user_name, tc.set_name FROM EM_TARGET_CREDS tc, MGMT_TARGETS t WHERE tc.target_guid=t.target_guid and tc.user_name = 'SYSMAN'

資格証明は名前付き資格証明として保存でき、他のユーザーにこの資格証明の使用、更新または所有するための権限が付与されます。これらの資格証明は、特定のターゲットに対してまたはグローバルに、ジョブ、パッチ適用または他の管理タスクのために使用できます。適用可能な資格証明のタイプには、ユーザー名またはパスワード、ホストに対するSSH鍵、データベースに対するKerberosがあります。この方法では、管理者が特権アクセス用の名前付き資格証明を構成し、特定のユーザーに付与できます。監査では、名前付き資格証明の作成、変更および使用を追跡します。

名前付き資格証明を使用すると、ターゲットの権限委任から権限管理を切り離すことができるセキュアなメカニズムがEnterprise Managerに提供されます。名前付き資格証明を使用して、組織は特定のユーザー名、パスワードまたは認証の詳細の管理を、これらの資格証明を使用する実際の認証局から分離させることができます。これは、悪質なユーザーが内部のCloud Controlから得た既知の資格証明のセットを使用して、Enterprise Manager以外から操作を確実に実行できないようにする必要のある、現代の安全な組織において不可欠な手段です。さらに、名前付き資格証明の一元化されたセットを管理すると、多くのEnterprise Manager管理者にわたって、資格証明情報の急増による著しい負荷をなくすことができるため、これらがEnterprise Manager環境以外から使用される可能性を低くし、資格証明が誤って公開されないようにできます。

3.6.1 資格証明のベスト・プラクティス

- EMCLIを使用して特権名前付き資格証明での定期的なパスワード変更を自動化する。これにより1人の管理者が許可ユーザーのパスワードの認識および更新ができるようになる。

- 優先資格証明を設定する際に名前付き資格証明を使用して、資格証明管理を簡素化する。

- SYSMANなどのグループまたは共通アカウントに優先資格証明を設定しないでください。

4 Enterprise Managerでのデータベース管理のセキュリティ・ベスト・プラクティス

この章では、Enterprise Manager 13を使用してデータベース管理に実装できるセキュリティ・ベスト・プラクティスに関する情報を提供します。内容は次のとおりです。

- 柔軟なデータベース・アクセス制御

- データベースへのセキュアな通信(TCPS)アクセス

- アカウント管理

4.1 柔軟なデータベース・アクセス制御

Enterprise Manager 13.1では、Enterprise Managerデータベース・プラグインに対するフレキシブルなデータベース・アクセス制御が導入されました。即時利用可能な新しいロールがデータベース・ペルソナと連携し、管理対象ターゲット・データベースに対するアクセス制御が厳格になっています。この機能が導入される前は、データベースへのアクセス権を付与されたEnterprise Managerユーザーが、すべてのデータベース管理機能(パフォーマンス管理、高可用性管理、ストレージ管理、セキュリティ管理など)へのアクセス権を持っていました。企業には、DBA、アプリケーション開発者、アプリケーションDBA、インフラストラクチャDBAなど、データベース管理機能にアクセスする必要がある様々なクラスのユーザーが存在します。これらのロールに対応するフレキシブルな権限モデルが必要です。たとえば、企業のアプリケーション開発者は表示専用モードでのみパフォーマンス管理機能にアクセスできるようにします。

エンタープライズ・ユーザーに不要な機能およびページへのアクセス権を付与すると、データベースがセキュリティの脆弱性に晒されます。Enterprise Managerユーザーには、各自のジョブの実行に必要な最小限の権限を付与することをお薦めします。これらの即時利用可能なデータベース管理ロールの導入によって、ユーザーには各自のジョブの実行に必要なEnterprise Managerページのみへのアクセス権が付与されます。

Enterprise Managerデータベース・プラグインに対するファイングレイン権限制御によって、データベース・ページの権限制御モデルが提供されます。これによって、Enterprise Managerスーパー管理者は、Enterprise Manager管理者およびユーザーに対して、より限定的な職責の完了に必要な最小アクセス権を付与することができます。

新しい柔軟なDBアクセス制御機能を使用して、データベース管理に高度なセキュリティを実装できます。この項には、次の項目が含まれます。

- データベース管理ロールおよび責任

- アプリケーションDBAアクセス

- アプリケーション開発者アクセス

- データベース・モニタリング・ユーザーアクセス

- データベース管理者アクセス

- 権限グループ

4.1.1 データベース管理ロールおよび責任

Oracle Enterprise Managerでは、組織でのロールおよび責任に基づいて、DBAにさまざまなレベルのアクセス権を付与できます。組織にセキュリティ・ベスト・プラクティスを実装するために、次のロールが推奨されます。

- アプリケーションDBA
アプリケーションDBAとは、データベースでアプリケーション・スキーマ、アプリケーション・オブジェクトおよびアプリケーション・パフォーマンスを管理する制限付きデータベース管理者です。アプリケーションDBAは、データベースでアプリケーションのパフォーマンスの問題を識別して解決できる必要があります。アプリケーションDBAは、適切なパフォーマンスでアプリケーションの稼動を継続させる責任があります。

- アプリケーション開発者
アプリケーション開発者とは、アプリケーションを開発する人です。アプリケーション開発者は、顧客から要件を取得して、顧客の要件に応じてアプリケーションを開発します。アプリケーション開発者はOracle Enterprise Managerを使用して、本番環境で最適なパフォーマンスを得るためにアプリケーション・モジュールでSQLを調整します。アプリケーション開発者は、開発、テストおよび本番環境のアプリケーション・モジュールに対して責任を持ちます。

- モニタリング・ユーザー
データベース・モニタリング・ユーザーは、本番環境でアプリケーションがスムーズに機能しているかどうか、データベースを監視します。モニタリング・ユーザーは、Enterprise Manager環境で生成されたアラートに応答します。モニタリング・ユーザーは、データベースでメトリックのスケジュールを更新してブラックアウトを設定できます。モニタリング・ユーザーは、本番データベースに変更を加えることはできません。モニタリング・ユーザーはレポートされた問題に対応し、解決する責任のあるDBAに問題が割り当てられていることを確認することで、アプリケーションの稼動を保証します。

- データベース管理者
データベース管理者は、インストールの構成、監視、バックアップ、リカバリ、パフォーマンス調整など、完全なデータベース・ライフサイクル管理を実行します。

4.1.2 アプリケーションDBAアクセス

アプリケーションDBAは、Enterprise Managerのパフォーマンス・ページとスキーマ管理ページにアクセスできる必要があります。

4.1.2.1 アプリケーションDBAアカウントの作成

Enterprise ManagerでアプリケーションDBAアカウントを作成するには:

1. 「新規管理者の作成」の手順に従って、Enterprise Manager管理者を作成します。

2. データベース・ターゲットでデータベース・アプリケーションDBA権限を付与します。

3. データベース・ホスト・ターゲットでFULL権限を付与します。

4. リソース権限ページを使用して、名前付き資格証明の新規作成権限(名前付き資格証明リソース・タイプ権限ページ)および作成権限(ジョブ・システム・リソース・タイプ権限)を付与します。

4.1.2.2 名前付き資格証明の作成

名前付き資格証明を作成するには、データベース管理者が独自の名前付き資格証明を作成するか、スーパー管理者(またはシステム・リソース権限を持つ権限付き管理者)が作成してアプリケーションDBAに付与します。名前付き資格証明には、名前付き資格証明に対する表示権限が付与されているため、アプリケーションDBAが名前付き資格証明の内容を把握または確認することはありません。

4.1.3 アプリケーション開発者アクセス

アプリケーション開発者は一般に開発環境で作業し、開発データベースに対するフル・アクセス権を持っています。アプリケーション開発者には通常、本番データベースへのアクセス権は付与されません。ただし、本番環境でのアプリケーション・クエリーのパフォーマンスを確認するために、本番データベースへのアクセス権が必要なこともあります。アプリケーション開発者の本番データベースへのアクセス権は、READ ONLYアクセス権である必要があります。アプリケーション開発者に、データベースに変更を加えることを許可してはなりません。アプリケーション開発者の本番データベースへのアクセス権は、開発者が本番データベースのパフォーマンス管理レポートにアクセスできる程度にする必要があります。

ユーザー管理または付与管理リソース・タイプ権限を持つEnterprise Manager管理者は、Oracle Enterprise Manager 13cでデータベースに対するアプリケーション開発者アクセス権をEnterprise管理者に付与できます。

4.1.3.1 データベースに対するアプリケーション開発者アクセスの付与

データベースに対するアプリケーション開発者アクセスを付与するには、「新規管理者の作成」の手順に従ってEnterprise Manager管理者を作成してから、データベースに対するデータベース・アプリケーション開発者権限を付与します。

4.1.3.2 データベース名前付き資格証明へのアプリケーション開発者アクセスの付与

データベース管理ページおよびパフォーマンス管理ページにアクセスするには、データベース名前付き資格証明を使用してデータベースにログインする必要があります。アプリケーションDBAはEnterprise Managerで、データベース名前付き資格証明に対する「資格証明の表示」アクセスをアプリケーション開発者に付与する必要があります。データベース名前付き資格証明は少なくとも、データベースでSELECT_CATALOG_ROLEロールを持つ必要があります。

アプリケーション開発者にユーザーのパスワードを与えることはできません。アプリケーション開発者に、ホストまたは任意のデータベース・ホスト名前付き資格証明に対する表示アクセスを付与することはできません。

Enterprise Managerでこのように作成されたアプリケーション開発者アカウントは、Enterprise Managerのパフォーマンス管理ページとスキーマ管理ページのみ表示できます。ユーザーは、データベースに変更を加えることはできません。

4.1.4 データベース・モニタリング・ユーザー・アクセス

データベース・モニタリング・ユーザーはユーザー・アクセス権を持ち、Enterprise Managerのデータベース・モニタリング・ページを表示できます。

4.1.4.1 データベースに対する「データベース・パフォーマンスの表示」アクセスの付与

データベースに対する「データベース・パフォーマンスの表示」アクセスを付与するには、「新規管理者の作成」の手順に従ってEnterprise Manager管理者を作成してから、データベース・ターゲットに対する「データベース・パフォーマンスの表示」権限を付与します。

4.1.4.2 データベース・モニタリング・ユーザーとの資格証明の共有

データベース・モニタリング・ユーザーと資格証明を共有するには:

1. データベース・モニタリング・ユーザーのデータベース・アカウントを作成します。

2. データベース・アカウントにSELECT_CATALOG_ROLEロールを付与します。

3. データベース・アカウントのユーザー名とパスワードを使用して、Enterprise Managerで名前付き資格証明を作成します。

4. Enterprise Managerで、データベース・モニタリング・ユーザーに名前付き資格証明に対する「資格証明の表示」アクセス権限を付与します。
データベース・モニタリング・ユーザーは、データベース・アカウントを使用してEnterprise Managerでデータベースにログインできるようになりました。

最低限のSELECT_CATALOG_ROLEロールを持っていないユーザーは、Enterprise Managerでデータベースにログインできません。データベース・ログイン・ユーザーが最低限のSELECT_CATALOG_ROLEロールを持っていない場合、次のエラー・メッセージが表示されます。

The application requires more database privileges than you have currently been granted.Click on Help to get more version specific information.

4.1.5 データベース管理者アクセス

データベース管理者は、データベースに対する完全なアクセス権を持っており、データベースですべての操作を実行できます。

4.1.5.1 データベース管理者アカウントの作成

データベース管理者アカウントを作成するには:

1. 「新規管理者の作成」の手順に従って、Enterprise Manager管理者を作成します

2. 管理者<名前>の作成: ロール・ページで、
EM_PATCH_ADMINISTRATORおよびEM_PROVISIONING_OPERATORロールを追加します。

3. ターゲット権限ページの「すべてのターゲットに適用可能な権限」セクションで、「任意のターゲットの追加」権限を付与します。

4.1.5.2 名前付き資格証明の作成

名前付き資格証明を作成するには、データベース管理者はEnterprise Managerにログインして、データベース名前付き資格証明とホスト名前付き資格証明を作成します。

データベース管理者はデータベースをプロビジョニングして、管理のためにデータベースをEnterprise Managerに追加します。これを行うことで、データベース管理者はEnterprise Managerでデータベースおよびリスナー・ターゲットの所有者になります。所有者は、Enterprise Managerでターゲットに対する完全なアクセス権を持ちます。

4.1.5.3 ロールおよび権限伝播グループによる権限の付与

Enterprise Managerのロールを作成することで、データベースに対する類似するレベルのアクセス権を複数のユーザーに付与できます。権限をロールに付与して、そのロールをEnterprise Manager管理者に付与できます。ロールのアクセス権の変更は、そのロールを付与されたEnterprise Manager管理者に反映されます。

ユーザーに付与された複数のデータベース間で類似するレベルのアクセス権を管理するには、権限伝播グループを作成する必要があります。データベースを個別に権限伝播グループに追加する必要があります。権限伝播グループに権限を付与できます。グループ・レベルで付与された権限は、グループ・メンバーに自動的に伝播されます。ユーザーは、権限伝播グループに後から追加されたすべてのデータベースに対する権限を自動的に受け取ります。

Enterprise Managerのロールについては、『Oracle Enterprise Manager Cloud Controlセキュリティ・ガイド』の2.2.1項に説明されています。

関連項目:
Enterprise Managerのロールの詳細は、「ユーザー、権限およびロールの理解」を参照してください

4.1.6 権限グループ

管理を容易にするために、柔軟なDBアクセス制御権限は大きく12の権限グループに分類されています。次の項で、Enterprise Managerで使用可能な12の権限グループについて説明します。

注意:
この項でリストする権限グループは、次のターゲット・タイプに適用されます。

- データベース・インスタンス

- クラスタ・データベース

- プラガブル・データベース

- データベース・アプリケーションDBA

- データベース・アプリケーション開発者

- 「データベース高可用性の管理」権限グループ

- 「データベース高可用性の表示」権限グループ

- 「データベース・パフォーマンスの管理」権限グループ

- 「データベース・パフォーマンスの表示」権限グループ

- 「データベース・スキーマの管理」権限グループ

- 「データベース・スキーマの表示」権限グループ

- 「データベース・セキュリティの管理」権限グループ

- 「データベース・セキュリティの表示」権限グループ

- 「データベース記憶域の管理」権限グループ

- 「データベース記憶域の管理」権限グループ

4.1.6.1 データベース・アプリケーションDBA

データベース・アプリケーションDBAは、データベースでアプリケーション・スキーマ、アプリケーション・オブジェクトおよびアプリケーション・パフォーマンスを管理できます。また、アプリケーションDBAはデータベースを表示および更新して、データベースのパフォーマンスおよびその他の問題を修正できます。

ターゲット権限

メニュー項目

データベース・パフォーマンス権限グループの管理
データベース・スキーマ権限グループの管理

データベース・パフォーマンス権限グループの管理
データベース・スキーマ権限グループの管理

4.1.6.2 データベース・アプリケーション開発者

データベース・アプリケーション開発者は、Enterprise Managerでデータベースのパフォーマンスを確認することはできますが、データベースに変更を加えることはできません。

ターゲット権限

メニュー項目

データベース・パフォーマンス権限グループの表示
データベース・スキーマ権限グループの表示

データベース・パフォーマンス権限グループの表示
データベース・スキーマ権限グループの表示

4.1.6.3 「データベース高可用性の管理」権限グループ

「データベース高可用性の管理」権限グループは、Enterprise Managerでデータベース高可用性ページを管理できます。

ターゲット権限

メニュー項目

データベース・バックアップの表示
データベース・アドバンスト・キューの表示

データベースREDOログの表示

リカバリ設定の表示

高可用性コンソールの表示

データベース・リソースの表示

「可用性」>「MAAアドバイザ」「管理」>「リソース・マネージャ」「可用性」>「バックアップとリカバリ」>「バックアップ・レポート」「可用性」>「バックアップとリカバリ」>「バックアップ設定」「可用性」>「バックアップとリカバリ」>「リカバリ設定」「可用性」>「バックアップとリカバリ」>「リカバリ・カタログ設定」「可用性」>「バックアップとリカバリ」>「トランザクション」

4.1.6.4 「データベース高可用性の表示」権限グループ

「データベース高可用性の表示」権限グループは、Enterprise Managerでデータベース高可用性ページを表示できます。

ターゲット権限

メニュー項目

データベース・バックアップの表示
データベース・アドバンスト・キューの表示

データベースREDOログの表示

リカバリ設定の表示

高可用性コンソールの表示

データベース・リソースの表示

「可用性」>「MAAアドバイザ」「管理」>「リソース・マネージャ」「可用性」>「バックアップとリカバリ」>「バックアップ・レポート」「可用性」>「バックアップとリカバリ」>「バックアップ設定」「可用性」>「バックアップとリカバリ」>「リカバリ設定」「可用性」>「バックアップとリカバリ」>「リカバリ・カタログ設定」「可用性」>「バックアップとリカバリ」>「トランザクション」

4.1.6.5 「データベース・パフォーマンスの管理」権限グループ

このグループのメンバーは、すべてのデータベース・パフォーマンスおよびSQLモニター、SQLパフォーマンス・アナライザ、メモリー・アドバイザ、セグメント・アドバイザなどのアドバイザ機能を管理できます。

ターゲット権限

メニュー項目

データベースSQLアクセス・アドバイザの使用
データベースSQL計画の管理

制御

データベースSQLチューニング・アドバイザの使用

データベースSQLチューニング・セットの管理

データベースSPA管理

データベース・セッションの管理

データベース・セグメント管理

データベースのメモリー使用量の表示

データベース・パフォーマンス権限グループの表示

データベース・オプティマイザ統計の管理

ターゲットの接続

データベースADDM管理

データベース・アドバイザ・タスク管理

自動化メンテナンス・タスク管理

データベース・ASHレポートの管理

データベース自動UNDO管理の管理

データベースAWR設定の管理

データベース・ヘルス・チェッカーの管理

データベースのメモリー使用量の管理

「パフォーマンス」>「パフォーマンス・ホーム」
「パフォーマンス」>「SQL」>「SQLパフォーマンス・アナライザ・ホーム」

「パフォーマンス」>「SQL」>「オプティマイザ統計」

「パフォーマンス」>「トップ・アクティビティ」

「パフォーマンス」>「ASH分析」

「パフォーマンス」>「SQLモニター」

「パフォーマンス」>「SQL」>「SQLチューニング・セット」

「パフォーマンス」>「SQL」>「SQL計画管理」

「パフォーマンス」>「SQL」>「Cloud ControlのSQL履歴」

「パフォーマンス」>「SQL」>「SQLの検索」

「パフォーマンス」>「セッションの検索」

「パフォーマンス」>「ブロックしているセッション」

「パフォーマンス」>アドバイザ・ホーム

「パフォーマンス」>「リアルタイムADDM」

「管理」>「記憶域」>「自動UNDO管理」

「パフォーマンス」>「AWR」>「AWRレポート」

「パフォーマンス」>「AWR」>「AWR管理」

「パフォーマンス」>「AWR」>「期間比較ADDM」

「パフォーマンス」>「AWR」>「期間比較レポート」

「パフォーマンス」>「SQL」>「SQLパフォーマンス・アナライザの設定」

「パフォーマンス」>「SQL」>「SQLチューニング・アドバイザ」

「パフォーマンス」>「SQL」>「SQLアクセス・アドバイザ」

「管理」>「初期化パラメータ」

4.1.6.6 「データベース・パフォーマンスの表示」権限グループ

このグループのメンバーは、すべてのデータベース・パフォーマンスおよびSQLモニター、SQLパフォーマンス・アナライザ、メモリー・アドバイザ、セグメント・アドバイザなどのアドバイザ機能を表示できます。

ターゲット権限

メニュー項目

ターゲットへの接続(読取り専用)
データベース・アクションの表示

データベースADDMの表示

データベース・アドバイザ・ホームの表示

自動化メンテナンス・タスクの表示

データベース・ASHレポートおよび分析の表示

データベース自動UNDO管理の表示

データベースAWRレポートの表示

データベース・ヘルス・チェッカーの表示

データベース・クライアントの表示

データベース・データ・リカバリ・アドバイザの表示

データベース・インメモリー設定の表示

データベース管理パッケージのインストール

データベース・モジュールの表示

データベース・パフォーマンス・ホームページの表示

データベース・オプティマイザ統計の表示

データベース・セグメントの表示

データベース・サービスの表示

データベース・セッションの表示

データベースSQLパフォーマンス・アナライザの表示

データベースSQLパフォーマンス・モニターの表示

データベースSQL計画管理の表示

データベースSQLチューニング・セットの表示

データベースSQLスクリプトの表示

データベース・トップ・アクティビティの表示

「パフォーマンス」>「パフォーマンス・ホーム」
「パフォーマンス」>「SQL」>「SQLパフォーマンス・アナライザ・ホーム」

「パフォーマンス」>「SQL」>「オプティマイザ統計」

「パフォーマンス」>「トップ・アクティビティ」

「パフォーマンス」>「ASH分析」

「パフォーマンス」>「SQLモニター」

「パフォーマンス」>「SQL」>「SQLチューニング・セット」

「パフォーマンス」>「SQL」>「SQL計画管理」

「パフォーマンス」>「SQL」>「Cloud ControlのSQL履歴」

「パフォーマンス」>「SQL」>「SQLの検索」

「パフォーマンス」>「セッションの検索」

「パフォーマンス」>「ブロックしているセッション」

「パフォーマンス」>アドバイザ・ホーム

「パフォーマンス」>「リアルタイムADDM」

「管理」>「記憶域」>「自動UNDO管理」

「パフォーマンス」>「AWR」>「AWRレポート」

「パフォーマンス」>「AWR」>「AWR管理」

「パフォーマンス」>「AWR」>「期間比較ADDM」

「パフォーマンス」>「AWR」>「期間比較レポート」

4.1.6.7 「データベース・スキーマの管理」権限グループ

このグループのメンバーは、表、ビュー、索引、パッケージ、機能などのデータベース・スキーマ要素を管理できます。

ターゲット権限

メニュー項目

データベース・ディレクトリ・オブジェクトの管理
データベース・エクスポートの管理

データベース・インポートの管理

データベース索引の管理

データベースJavaコンテンツの管理

データベースのマテリアライズドの管理

ビュー

データベース表の管理

データベース・プロシージャおよび機能の管理

データベース・オブジェクトの再編成

データベース順序の管理

データベースのシノニムの管理

データベースのワークスペースの管理

XMLデータベースの管理

データベース・タイプの管理

データベース・トリガーの管理

データベース・テキスト索引の管理

データベース表データの管理

データベース・ディメンションの管理

データベース・リンクの管理

データベース・パッケージおよびパッケージ本体の管理

「スキーマ」>「データベース・オブジェクト」>「シノニム」
「スキーマ」>「データベース・オブジェクト」>「順序」

「スキーマ」>「データベース・オブジェクト」>「データベース・リンク」

「スキーマ」>「データベース・オブジェクト」>「ディレクトリ・オブジェクト」

「スキーマ」>「Text Manager」>「テキスト索引」

「スキーマ」>「ワークスペース」

「スキーマ」>「XMLデータベース」>「リソース」

「スキーマ」>「XMLデータベース」>「XMLスキーマ」

「スキーマ」>「XMLデータベース」>「XMLTypeビュー」

「スキーマ」>「XMLデータベース」>「XML索引」

「スキーマ」>「XMLデータベース」>「XMLリポジトリ・イベント」

「スキーマ」>「XMLデータベース」>「XMLType表」

「スキーマ」>「プログラム」>「パッケージ」

「スキーマ」>「プログラム」>「パッケージ本体」

「スキーマ」>「プログラム」>「Javaソース」

「スキーマ」>「プログラム」>「Javaクラス」

「スキーマ」>「マテリアライズド・ビュー」>「マテリアライズド・ビュー」

「スキーマ」>「マテリアライズド・ビュー」>「マテリアライズド・ビュー・ログ」

「スキーマ」>「マテリアライズド・ビュー」>「リフレッシュ・グループ」>「ディメンション」

「スキーマ」>「ユーザー定義タイプ」>「配列タイプ」

「スキーマ」>「ユーザー定義タイプ」>「オブジェクト・タイプ」

「スキーマ」>「ユーザー定義タイプ」>「表タイプ」

「スキーマ」>「データベース・オブジェクト」>「オブジェクトの再編成」

「スキーマ」>「データベースのエクスポート/インポート」>「エクスポート・ファイルへのエクスポート...」

「スキーマ」>「データベースのエクスポート/インポート」>「エクスポート・ファイルからのインポート...」

「スキーマ」>「データベースのエクスポート/インポート」>「データベースからインポート...」

「スキーマ」>「データベースのエクスポート/インポート」>「ユーザー・ファイルからのデータのロード...」

「スキーマ」>「Text Manager」>「問合せ統計」

「スキーマ」>「XMLデータベース」>「構成」

「スキーマ」>「変更の管理」>データ比較スキーマ変更計画

「スキーマ」>「変更の管理」>「スキーマ・ベースライン」

「スキーマ」>「変更の管理」>「スキーマの比較」

「スキーマ」>「変更の管理」>「スキーマ変更計画」

「スキーマ」>「変更の管理」>「スキーマの同期」

4.1.6.8 「データベース・スキーマの表示」権限グループ

このグループのメンバーは、表、ビュー、索引、パッケージ、機能などのデータベース・スキーマ要素を表示できます。

ターゲット権限

メニュー項目

XMLデータベースの表示
データベース・ワークスペースの表示

データベース・タイプの表示

データベース・トリガーの表示

データベース・テキスト索引の表示

データベース表の表示

データベース・シノニムの表示

データベース順序の表示

データベース・プロシージャおよび機能の表示

データベース・パッケージおよびパッケージ本体の表示

データベースのマテリアライズド・ビューの表示

データベースJavaコンテンツの表示

データベース索引の表示

データベース・ディレクトリ・オブジェクトの表示

データベース・ディメンションの表示

データベース・リンクの表示

「スキーマ」>「データベース・オブジェクト」>「表」
「スキーマ」>「データベース・オブジェクト」>「ビュー」

「スキーマ」>「データベース・オブジェクト」>「索引」

「スキーマ」>「データベース・オブジェクト」>「シノニム」

「スキーマ」>「データベース・オブジェクト」>「順序」

「スキーマ」>「データベース・オブジェクト」>「データベース・リンク」

「スキーマ」>「データベース・オブジェクト」>「ディレクトリ・オブジェクト」

「スキーマ」>「Text Manager」>「テキスト索引」

「スキーマ」>「ワークスペース」

「スキーマ」>「XMLデータベース」>「リソース」

「スキーマ」>「XMLデータベース」>「XMLスキーマ」

「スキーマ」>「XMLデータベース」>「XMLTypeビュー」

「スキーマ」>「XMLデータベース」>「XML索引」

「スキーマ」>「XMLデータベース」>「XMLリポジトリ・イベント」

「スキーマ」>「XMLデータベース」>「XMLType表」

「スキーマ」>「プログラム」>「パッケージ」

「スキーマ」>「プログラム」>「パッケージ本体」

「スキーマ」>「プログラム」>「Javaソース」

「スキーマ」>「プログラム」>「Javaクラス」

「スキーマ」>「マテリアライズド・ビュー」>「マテリアライズド・ビュー」

「スキーマ」>「マテリアライズド・ビュー」>「マテリアライズド・ビュー・ログ」

「スキーマ」>「マテリアライズド・ビュー」>「リフレッシュ・グループ」>「ディメンション」

「スキーマ」>「ユーザー定義タイプ」>「配列タイプ」

「スキーマ」>「ユーザー定義タイプ」>「オブジェクト・タイプ」

「スキーマ」>「ユーザー定義タイプ」>「表タイプ」

4.1.6.9 「データベース・セキュリティの管理」権限グループ

このグループのメンバーは、ユーザー、ロール、プロファイル、透過的データ暗号化、Database Vaultなどのすべてのデータベース・セキュリティ機能を管理できます。

ターゲット権限

メニュー項目

データベース・ロールの管理
データベース監査設定の管理

データベース監査証跡の管理

Database Vaultの管理

データベース仮想プライベート・データベース・ポリシーの管理

データベース・ユーザーの管理

データベース透過的データ暗号化設定の管理

データベース・セキュリティ権限グループの表示

データベース・スケジューラの管理

データベース・リダクション管理

データベース・ポリシーの管理

権限分析の管理

データベースOracle label securityの管理

「セキュリティ」>「ホーム」
「セキュリティ」>「レポート」

「セキュリティ」>「Database Vault」

「管理」>「Oracle Scheduler」>「ジョブ」

「管理」>「Oracle Scheduler」>「ジョブ・クラス」

「管理」>「Oracle Scheduler」>「チェーン」

「管理」>「Oracle Scheduler」>「スケジュール」

「管理」>「Oracle Scheduler」>「プログラム」

「管理」>「Oracle Scheduler」>「ウィンドウ」

「管理」>「Oracle Scheduler」>「ウィンドウ・グループ」

「セキュリティ」>「ロール」

「セキュリティ」>「ユーザー」

「セキュリティ」>「プロファイル」

「セキュリティ」>「監査設定」

「セキュリティ」>「透過的データ暗号化」

「セキュリティ」>「データ・リダクション」

「セキュリティ」>「Label Security」

「セキュリティ」>「アプリケーション・コンテキスト」

「セキュリティ」>「エンタープライズ・ユーザー・セキュリティ」

「セキュリティ」>「仮想プライベート・データベース」

「セキュリティ」>「アプリケーション・コンテキスト」

「セキュリティ」>「エンタープライズ・ユーザー・セキュリティ」

「セキュリティ」>「権限分析」

4.1.6.10 「データベース・セキュリティの表示」権限グループ

このグループのメンバーは、ユーザー、ロール、プロファイル、データ暗号化、Data Vault、Audit Vaultなどのすべてのデータベース・セキュリティ機能を表示できます。

ターゲット権限

メニュー項目

データベース監査設定の表示データベース監査証跡の表示Database Vaultの監視データベース機能の使用状況の表示データベースOracle label securityの表示権限分析の表示データベース・プロファイルの表示データベース・リダクションの表示データベース・ロールの表示データベース・スケジューラの表示データベース・セキュリティ・ホームの表示データベース・セキュリティ・レポートの表示データベース透過的データ暗号化設定の表示データベース・ユーザーの表示データベース仮想プライベート・データベース・ポリシーの表示

「セキュリティ」>「ホーム」
「セキュリティ」>「レポート」

「セキュリティ」>「Database Vault」

「管理」>「Oracle Scheduler」>「ジョブ」

「管理」>「Oracle Scheduler」>「ジョブ・クラス」

「管理」>「Oracle Scheduler」>「チェーン」

「管理」>「Oracle Scheduler」>「スケジュール」

「管理」>「Oracle Scheduler」>「プログラム」

「管理」>「Oracle Scheduler」>「ウィンドウ」

「管理」>「Oracle Scheduler」>「ウィンドウ・グループ」

「セキュリティ」>「ロール」

「セキュリティ」>「ユーザー」

「セキュリティ」>「プロファイル」

「セキュリティ」>「監査設定」

「セキュリティ」>「透過的データ暗号化」

「セキュリティ」>「データ・リダクション」

「セキュリティ」>「Label Security」

「セキュリティ」>「アプリケーション・コンテキスト」

「セキュリティ」>「エンタープライズ・ユーザー・セキュリティ」

「セキュリティ」>「仮想プライベート・データベース」

「セキュリティ」>「アプリケーション・コンテキスト」

「セキュリティ」>「エンタープライズ・ユーザー・セキュリティ」

「セキュリティ」>「権限分析」

4.1.6.11 「データベース記憶域の管理」権限グループ

このグループのメンバーは、データベース記憶域を管理できます。

ターゲット権限

メニュー項目

データベース制御ファイルの管理
データベース・データファイルの管理

データベースREDOログの管理

データベース表領域の管理

データベース・トランスポート表領域の管理

「管理」>「記憶域」>「アーカイブ・ログ」
「管理」>「記憶域」>「データファイル」

「管理」>「記憶域」>「制御ファイル」

「管理」>「記憶域」>「REDOログ・グループ」

「管理」>「記憶域」>「表領域」

「管理」>「記憶域」>「一時表領域グループ」

「管理」>「記憶域」>「データベース・ファイル・システム」

「管理」>「記憶域」>「情報ライフサイクル管理」

4.2 データベースへのセキュアな通信(TCPS)アクセス

TCPS対応のリスナーを検出、モニタリングおよび管理するための即時利用可能なサポートが提供されています。管理プロビジョニング・フローまたはクラウド・セルフ・サービス・ポータルを介して作成したすべてのデータベースでは、デフォルトでSSL対応の接続文字列がサポートされます。TCPS接続プロトコルを構成することで、ターゲット・データベースを安全に監視できます。セキュアなアクセスを構成することで、OMSとデータベース・サーバー・ターゲット間およびエージェントとデータベース・サーバー・ターゲット間でデータ転送の暗号化が有効になります。

企業はクラウド・ソリューションを目指しているため、セキュアなユーザー認証は製品提供における主要な要件の1つです。(Enterprise Manager 11gで導入された) Oracleのデフォルト認証プロトコルO3LOGONおよびO5LOGONが改良されて、TCPプロトコルよりもセキュアなTCPSプロトコルを使用したOracle Database Serverへのユーザー認証が可能になりました。

注意:
セキュアな認証を使用することによる、通常のデータベース・パフォーマンスへの影響はありません。

4.2.1 TCPSの構成

TCPSを構成するには:

1. ターゲット・データベースでOracle Advanced Security TLS設定を有効にします。

2. サード・パーティCA証明書でセキュアなウォレットを構成します。

3. OMSおよびエージェントの通信用にサード・パーティCA証明書ウォレットを構成します。

4. ターゲット・データベースのモニタリング構成プロパティで、接続プロトコルをTCPSに設定します。

4.2.2 ターゲット・データベースとの通信用のサード・パーティCA証明書の構成

セキュアなターゲット・モニタリングのために、OMSサーバーおよびエージェントで次のプロパティ・セットを設定する必要があります。OMSとエージェントをバウンスして、変更内容を有効にします。

関連項目:
emctlの詳細は、『Oracle Enterprise Managerライフサイクル・マネージメント管理者ガイド』の付録C「emctl partoolユーティリティの使用」を参照してください。

OMSサーバーで設定するプロパティ:

- #Client authority

- emctl set property -sysman_pwd sysman -name em.targetauth.db.pki.KeyStore -value <…wallet..>

- emctl set property -sysman_pwd sysman -name em.targetauth.db.pki.KeyStorePassword -value <…>

- emctl set property -sysman_pwd sysman -name em.targetauth.db.pki.KeyStoreType -value <..>

- #Server authority

- emctl set property -sysman_pwd sysman -name em.targetauth.db.pki.TrustStorePassword -value <…>

- emctl set property -sysman_pwd sysman -name em.targetauth.db.pki.TrustStoreType -value <..>

- emctl set property -sysman_pwd sysman -name em.targetauth.db.pki.TrustStore -value <…wallet..>

Properties to be set at the Agent residing on the target database host:

- #Client authority

- emctl setproperty agent -name connectionKeyStoreLocation -value <…wallet..>

- emctl setproperty agent -name connectionKeyStoreType -value <..>

- emctl setproperty agent -name connectionTrustStoreType -value <..>

- #Server authority

- emctl setproperty agent -name connectionTrustStoreLocation -value <…wallet..>

- emctl setproperty agent -name connectionTrustStorePassword -value <..>

- emctl setproperty agent -name connectionTrustStoreType -value <..>

4.3 アカウント管理

ターゲット・データベース・アカウント管理のために、次の新しいEM CLI動詞が追加または変更されています。

関連項目:
これらの動詞の詳細(例を含む)は、『Oracle Enterprise Managerコマンドライン・インタフェース』の「Verbリファレンス」を参照してください。

- get_db_profile
特定の検索条件のプロファイル、リソース名、リソース・タイプ、制限など、データベース・プロファイルの詳細を表示します。次の例では、DEFAULTという名前のプロファイルに関する詳細を示します。

emcli get_db_profile
-target_name=myDB
-profile= DEFAULT
-connect_as="DBNamedCreds:SYS_myDB"

- get_db_account
特定の検索条件のユーザー名、プロファイル、アカウント・ステータス、認証タイプなど、データベース・アカウントの詳細を表示します。次の例では、ユーザーAdmin1の詳細を示します。

emcli get_db_account
-target_name=myDB
-user_name=Admin1
-connect_as"DBNamedCreds:SYS_myDB"

- update_db_account_status
データベース・アカウント・ステータスをLOCKED、OPEN、EXPIREDまたはLOCKED & EXPIREDに更新します。次の例では、アカウントをロックします。

emcli update_db_account_status
-target_name=myDB
-user_name=Admin1
-action=LOCK
-connect_as="DBNamedCreds:SYS_myDB"

- update_db_password
Enterprise Manager資格証明サブシステムでターゲット・データベースのパスワード変更を更新します。ターゲット・データベースでパスワードを変更することもできます。このverbでは、収集または監視資格証明がEnterprise Manager管理エージェントに伝播されます。

EM CLI動詞update_db_passwordで、SYS/SYSDBAユーザーを含むすべてのユーザーのパスワードを変更できるようになりました。この動詞で、データベース・ターゲットおよびすべてのEnterprise Manager資格証明のパスワードを変更できます。RACおよびDataguardインスタンス間でパスワード・ファイルを同期します。他のユーザーのパスワード変更に使用される場合、データベース名前付き資格証明を受け入れてデータベース・ターゲットにログインします。次の例では、データベース・パスワードを更新します。

emcli update_db_password
-target_name=myDB
-user_name=Admin1

5 トラブルシューティング

この章では、Oracle Enterprise Managerでのセキュリティの問題のトラブルシューティングについて説明します。

5.1 Enterprise Managerでの認証問題のトラブルシューティング

認証は様々な理由で失敗することがあります。この項では、認証失敗のトラブルシューティング方法を説明します。Enterprise Managerが外部認証を使用して構成されている場合、LDAPまたはSSO WebLogic認証プロバイダがユーザーを認証します。認証が成功すると、Enterprise Managerの認証レイヤーにより、ユーザーがEnterprise Managerリポジトリに存在するかどうかが確認されます。認証に失敗した場合、Enterprise Manager管理者は../gc_inst/user_projects/domains/GCDomainディレクトリにあるldap_trace.logATNを確認する必要があります。このファイルには、LDAPオーセンティケータからの認証エントリが含まれます。そのファイルが存在しない場合には、WebLogicデバッグ・フラグ(DebugSecurityAtn)を有効にする必要があります。

5.1.1 WebLogicデバッグ・フラグの有効化

WebLogic Serverコンソールから、ロギングを有効化するため、WebLogicデバッグ・ログ・レベルを設定し、デバッグ・フラグを有効にします。

1. 「環境」→「サーバー」→EMGC_OMS1に移動して、「ロギング」タブを選択します。

2. 「ローテーション」の下で、「ファイル・ローテーション・サイズ」を64000に設定します。

3. 「詳細」を展開します。

4. 「メッセージの宛先」(「ログ・ファイル:」リージョン)の下で、「重大度」を「トレース」に設定します。

5. 「環境」→「サーバー」→EMGC_OMS1に移動して、「デバッグ」タブを選択します。

6. WebLogic→セキュリティ→atn→DebugSecurityAtnにチェックを付けます。

7. 「保存」をクリックします。

5.1.2 ldap_trace.logATNファイルでのエラーのデバッグ

1. 「詳細」セクションで、「ログの最低の重大度」を「デバッグ」に設定します。

2. 「メッセージの宛先」で、「ログ・ファイル」の「重大度」を「デバッグ」に設定します。

3. 「保存」または「変更のアクティブ化」をクリックします。

4. 「デバッグ」タブに移動し、次のデバッグを有効にします。
weblogic→セキュリティ→atn→DebugSecurityAtn

5. 「保存」または「変更のアクティブ化」をクリックします。

5.1.3 無効な資格証明

ここでは、ユーザーjohndoeが不正な資格証明を使用してログインしようとしている場合を考えてみます。次のような出力がldap_trace.logATNに表示されるはずです。resultCodeが49でゼロ以外のため、不正なパスワードであることを示しています。

12:39:36.529 ldc=3 Connected to ldaps://<ldaphost>:3060
12:39:36.529 ldc=3 op=215 BindRequest {version=3, name=cn=orcladmin, authentication=********}
12:39:36.566 ldc=3 op=215 BindResponse {resultCode=0}
12:39:36.568 ldc=3 op=216 BindRequest {version=3, name=cn=johndoe,cn=Users,dc=us,dc=company,dc=com, authentication=********}
12:39:36.608 ldc=3 op=216 BindResponse {resultCode=49}

ユーザーjohndoeがLDAPプロバイダにより正常に認証されてもEnterprise Managerリポジトリに存在しない場合には、ldap_trace.logATN (resultCodeは0となっている)にはエラーはありませんが、Enterprise Managerのログファイルemoms.log (../gc_inst/em/sysman/logの配下)は次のようになっているはずです。

2013-05-28 12:47:43,295 [[ACTIVE] ExecuteThread: '3' for queue: 'weblogic.kernel.Default (self-tuning)'] WARN  auth.EMRepLoginFilter doFilter.457 - InvalidEMUserException caught in EMRepLoginFilter: Failed to login using external authentication for user: johndoe
oracle.sysman.emSDK.sec.auth.InvalidEMUserException: Failed to login using external authentication for user: johndoe
at oracle.sysman.emSDK.sec.auth.EMLoginService._performLogin(EMLoginService.java:1269)
at oracle.sysman.emSDK.sec.auth.EMLoginService._doSSOLogin(EMLoginService.java:754)
at oracle.sysman.emSDK.sec.auth.EMLoginService.doSSOLogin(EMLoginService.java:727)
at oracle.sysman.emSDK.sec.auth.EMLoginService.doLogin(EMLoginService.java:228)
at oracle.sysman.emSDK.sec.auth.EMLoginService.doLogin(EMLoginService.java:256)

emoms.trcの詳細なデバッグ・データを得るため、次のコマンドによりEnterprise Managerの認証ログ出力を有効にできます。

emctl set property -name "log4j.category.oracle.sysman.core.security.auth" -value "DEBUG, emtrcAppender

emctl list propertiesを実行すると、次のような出力が表示されます。

log4j.category.oracle.sysman.core.security.auth=DEBUG, emtrcAppender

注意:
パフォーマンス上の理由で、このデバッグ出力を有効なままにしないでください。認証の問題が診断されたら、emctl delete property -name ".category.oracle.sysman.core.security.auth"を使用してこのログ出力をオフにしてください。

5.1.4 LDAPサーバーでのタイムアウト

他に、ldap_trace.logATNにおいてresultCodeがゼロ以外になることがありますが、それはLDAP認証レイヤーでの他のタイプの失敗を示しています。LDAPサーバーから結果のフェッチを試行しているときにプロバイダがタイム・アウトになった場合、次のような結果がファイルに出力されます。

09:36:44.168 ldc=2 op=214 AbandonRequest {msgid=213}

この問題を修正するには、LDAPプロバイダの「結果タイム・リミット」構成パラメータの値を増やします。

5.1.5 ldap_trace.logATN以外でのエラー

場合によっては、ldap_trace.logATNでは詳細がわからないこともあります。その場合、構成された外部認証プロバイダの診断ログEMGC_OMS1-diagnostic.logでエラーまたは警告を確認します。

LDAPサーバーとOMSホストとの間に断続的なネットワーク問題があったり、入力として与えられた検索ベースが広すぎる場合などがあります。OMSホストのOSに用意されたldapsearchコマンドを使用して、接続または結果の取得タイミング問題を検証できます。このコマンドは、すべてのオペレーティング・システムで使用できるわけではありません。他のLDAPツールを使用することもできます。次に例を示します。

ldapsearch -h hostname -p 3060 -D cn=orcladmin -x -w xxxxxxx -b "cn=users,dc=us,dc=oracle,dc=com" -s one -l 5 -z 15

各項目の意味は次のとおりです。

- lh - ldapサーバーのホスト名

- p - ldapサーバーのポート

- D - バインドdn

- x - SASLではなく単純な認証を使用

- w - 前述のバンドdnのパスワード

- l - 検索が完了するタイム・リミット(秒)

- b - 検索ベース

- s - 範囲検索の指定

- z - 返される検索結果エントリの制限の指定

-bオプションにユーザーおよびグループ・ベースdn(emctlコマンドで指定する)を指定して、適切な結果が返され、期待した時間枠内であることを確認できます。

遅延やタイムアウトが見え始めた場合には、Enterprise Managerがインストールされているのと同じマシンからこのコマンドを実行し、LDAPサーバーまたはネットワーク関連でないことを確認します。

6 リファレンス

次のOracleドキュメントでは、このマニュアルで説明するトピックについての詳細な情報を紹介しています。

- 『Oracle Database Advanced Securityガイド』

- 『Oracle Databaseセキュリティ・ガイド』

- 『Oracle Databaseのセキュリティ・チェックリスト』

- 『Oracle Database 2日でセキュリティ・ガイド』

- 『Oracle Enterprise Manager Cloud Control管理者ガイド』

- 『Oracle Fusion Middleware管理者ガイド』

- 『Oracle Fusion Middleware Oracle WebLogic Serverの保護』

- 『Oracle Fusion Middleware Oracle WebLogic Server本番環境の保護』

A ロール

この付録では、即時利用可能なロールおよびSYSDBA権限がない場合のデータベース・ターゲットへのユーザー・アクセスを示します。

A.1 あらかじめ用意されているロール

次の表には、Enterprise Managerで即時利用可能な事前定義済ロールが示されています。

表A-1 あらかじめ用意されているロール

ロール

説明

EM_ALL_ADMINISTRATOR

ロールは、Enterprise Managerの管理操作を行うための権限を持ちます。すべてのセキュアなリソース(ターゲットを含む)に対するフル権限が提供されます。

EM_ALL_DESIGNER

ロールは、Enterprise Managerの操作エンティティ(監視テンプレートなど)を設計するための権限を持ちます。

EM_ALL_OPERATOR

ロールは、Enterprise Managerの操作を管理するための権限を持ちます。

EM_ALL_VIEWER

ロールは、Enterprise Managerの操作を表示するための権限を持ちます。

EM_CBA_ADMIN

ロールにはチャージバック・オブジェクトを管理するための権限があります。チャージバック・プランとチャージバック・コンシューマの作成と表示、チャージバック使用量の割当て、およびCaTターゲットの表示を可能にします。

EM_CLOUD_ADMINISTRATOR

インフラストラクチャ・クラウドの設定と管理を行うためのEnterprise Managerユーザー。このロールは、クラウド・インフラストラクチャ(サーバー、プール、ゾーン)のデプロイと、パフォーマンスや構成を管理するためのインフラストラクチャ・クラウド操作を担う場合があります。

EM_COMPLIANCE_DESIGNER

ロールは、コンプライアンス・エンティティを作成、変更および削除するための権限を持ちます。

EM_COMPLIANCE_OFFICER

ロールは、コンプライアンス・フレームワーク定義および結果を表示するための権限を持ちます。

EM_CPA_ADMIN

統合オブジェクトを管理するためのロール。統合プランと統合プロジェクトの作成と表示、およびCaTターゲットの表示を可能にします。

EM_HOST_DISCOVERY_OPERATOR

ロールは、ホストの検出を行うための権限を持ちます

EM_INFRASTRUCTURE_ADMIN

ロールは、プラグイン・ライフサイクルの管理や自己更新の管理などのEnterprise Managerインフラストラクチャを管理するための権限を持ちます。

EM_PATCH_ADMINISTRATOR

パッチ計画用の権限の作成、編集、デプロイ、削除および付与を行うためのロール。

EM_PATCH_DESIGNER

パッチ計画の作成および表示を行うためのロール

EM_PATCH_OPERATOR

パッチ計画をデプロイするためのロール

EM_PLUGIN_AGENT_ADMIN

管理エージェントでプラグイン・ライフサイクルをサポートするためのロール

EM_PLUGIN_OMS_ADMIN

管理サーバーでプラグイン・ライフサイクルをサポートするためのロール

EM_PLUGIN_USER

プラグイン・コンソールの表示をサポートするためのロール

EM_PROVISIONING_DESIGNER

ロールは、プロビジョニング・デザイナ用の権限を持ちます。

EM_PROVISIONING_OPERATOR

ロールは、プロビジョニング・オペレータ用の権限を持ちます。

EM_SSA_ADMINISTRATOR

セルフ・サービス・ポータルを設定する権限を持つEnterprise Managerユーザー。このロールは、セルフ・サービス・ユーザーに対して割当てと制約を定義したり、アクセス権を付与できます。

EM_SSA_USER

このロールはEnterprise Managerユーザーにセルフ・サービス・ポータルにアクセスする権限を付与します。

EM_TARGET_DISCOVERY_OPERATOR

ロールは、ターゲットの検出を行うための権限を持ちます。

EM_TC_DESIGNER

ロールは、テンプレート・コレクションを作成するための権限を持ちます。

EM_USER

ロールは、Enterprise Managerアプリケーションにアクセスするための権限を持ちます。

PUBLIC

PUBLICロールは、すべての管理者に付与されます。このロールは、すべての管理者に付与する必要のある権限をグループ化するようサイト・レベルでカスタマイズできます。

A.2 SYSDBA権限がない場合のデータベース・ターゲットへのユーザー・アクセス

ユーザーは、データベース・ターゲットに対して次のような操作を実行する必要がある場合があります。

- パフォーマンス・ページの監視

- AWRの確認および管理

- SQLアクセス・アドバイザの使用

- SQLチューニングの使用

ユーザーがEnterprise Managerでデータベース・モニタリングおよびデータベース管理機能にアクセスする必要があるにもかかわらず、データベース・ターゲットに対する完全なSYSDBAアクセス権が付与されていない場合には、Enterprise Manager管理者を作成して、EM_USERロールおよびPUBLICロールと、管理者がアクセスするデータベース・ターゲットに対する「表示可能な任意のターゲットに接続」権限を付与できます。

次の手順では、(特定のターゲット・インスタンスをリストするのではなく)すべてのターゲットに「表示可能な任意のターゲットに接続」が付与されます。使用されている認証モデルのタイプに応じて、管理者の詳細は、Cloud ControlリポジトリまたはLDAPなどの外部ストアのいずれかに格納されます。

A.2.1 管理者の作成

1. 「設定」メニューから、「セキュリティ」、「管理者」の順に選択します。

2. 「作成」をクリックします。

3. 管理者の作成: プロパティ・ページから、セキュリティ・チームによって強制されるパスワード・プロファイルを含む、必要なすべての情報を入力します。次に示す図では、このユーザーが一時パスワードでログインした場合、パスワードのリセットが強制されるように、「パスワード即期限切れ」が選択されています。
必要な情報を入力したら、「次へ」をクリックします。

4. 管理者の作成: ロール・ページから、デフォルト・ロールを選択して、「次へ」をクリックします。

5. 管理者の作成: ターゲット権限ページから、「表示可能な任意のターゲットに接続」ターゲット権限を選択します。これにより管理者は、コンソール内の表示可能なすべてのターゲットに接続できるようになります。

「次へ」をクリックします。

6. リソース・ページから、「次へ」をクリックします。これにより、デフォルトの設定が受け入れられます。

7. 確認ページで設定を確認します。「終了」をクリックします。

有効なユーザーがターゲット・インスタンスに存在する必要があります。

A.2.2 データベース・パフォーマンス・ページへのアクセスを必要とするユーザー

1. DBターゲット・ホストでsysdbaとしてログインし、<dbmonitor_admin>ユーザーを作成して、適切な権限を付与します。

SQL> create user <dbmonitor_admin> identified by <password>;
SQL> grant select any dictionary to <dbmonitor_admin>;
SQL> grant create session to <dbmonitor_admin>;

2. Cloud Controlコンソールに<gc_user>ユーザー(例では、JANEMURRY)としてログインします。
「ターゲット」→「Database」→「ORADB」→「パフォーマンス」

<dbmonitor_admin>ユーザーのログインおよびパスワードを入力します。

パフォーマンス・ページが表示されます。次のユーザーは、「その他のモニタリング・リンク」セクションの下のすべてのページにアクセスできるようになります。

A.2.3 AWRまたはADDMへのアクセスを必要とするユーザー

1. DBターゲット・ホストでsysdbaとしてログインし、<awr_admin>ユーザーを作成して、適切な権限を付与します。

SQL> create user <awr_admin> identified by <password>;
SQL> grant select any dictionary to <awr_admin>;
SQL> grant create session to <awr_admin>;
SQL> grant execute on dbms_workload_repository to <awr_admin>;

2. Cloud Controlコンソールに<gc_user>ユーザー(例では、JANEMURRY)としてログインします。
「ターゲット」→「Database」→「ORADB」→「関連リンク: アドバイザ・セントラル」

<awr_admin>ユーザーのログインおよびパスワードを入力します。

3. AWRまたはADDMレポートを生成するには、次のようにクリックします。
「ADDM」→「OK」

A.2.4 SQLアクセス・アドバイザへのアクセスを必要とするユーザー

1. DBターゲット・ホストでsysdbaとしてログインし、<sqlaccess_admin>ユーザーを作成して、適切な権限を付与します。

SQL> create user <sqlaccess_admin> identified by <password>;
SQL> grant select any dictionary to <sqlaccess_admin>;
SQL> grant create session to <sqlaccess_admin>;
SQL> grant oem_advisor to <sqlaccess_admin>;

2. Cloud Controlコンソールに<gc_user>ユーザー(例では、JANEMURRY)としてログインします。
「ターゲット」→「Database」→「ORADB」→「関連リンク: アドバイザ・セントラル」→「SQLアクセス・アドバイザ」 <sqlaccess_admin>ユーザーのログインおよびパスワードを入力します。

3. SQLアクセス・タスクを実行するには、ウィザードで手順を完了します。

A.2.5 SQLチューニング・アドバイザへのアクセスを必要とするユーザー

1. DBターゲット・ホストでsysdbaとしてログインし、<sqltune_admin>ユーザーを作成して、適切な権限を付与します。

SQL> create user <sqltune_admin> identified by <password>; SQL> grant select any dictionary to <sqltune_admin>; SQL> grant create session to <sqltune_admin>; SQL> grant oem_advisor to <sqltune_admin>;

2. Cloud Controlコンソールに<gc_user>ユーザー(例では、JANEMURRY)としてログインします。
「ターゲット」→「Database」→「ORADB」→「関連リンク: アドバイザ・セントラル」→「SQLチューニング・アドバイザ」 <sqltune_admin>ユーザーのログインおよびパスワードを入力します。

3. SQLチューニング・タスクを実行できます。たとえば、「トップ・アクティビティ」→「ASHレポートの実行」をクリックします。

B 権限

次の表に、使用可能なターゲット権限を示します。

表B-1 すべてのターゲットに適用可能なターゲット権限

表示名

説明

含まれている権限

適用可能なターゲット・タイプ

内部名

完全な任意のターゲット

ターゲットの削除を含む、すべてのターゲットに対するすべての操作を実行する機能

操作の任意のターゲット

FULL_ANY_TARGET

任意のエージェントとしてコマンドを実行

任意のエージェントでエージェント・ユーザーとしてOSコマンドを実行

エージェント

PERFORM_OPERATION_AS_ANY_AGENT

任意のエージェントとしてファイルを配置

任意のエージェントのファイルシステムにエージェント・ユーザーとして任意のファイルを配置

エージェント

PUT_FILE_AS_ANY_AGENT

任意の場所でのコマンドの実行

任意のエージェントでOSコマンドを実行

ホスト

PERFORM_OPERATION_ANYWHERE

操作の任意のターゲット

すべての管理対象ターゲットに対する管理操作を実行する機能

任意のターゲットの表示

OPERATOR_ANY_TARGET

表示可能な任意のターゲットに接続

表示可能な任意のターゲットに接続して管理する機能

CONNECT_ANY_VIEW_TARGET

任意のビーコンの使用

監視中の任意のホストに任意のビーコンを使用して、トランザクション、URLおよびネットワーク・コンポーネントを監視します。ビーコンはOracleエージェントとともにインストールされます。

USE_ANY_BEACON

Enterprise Managerの監視

Enterprise Managerのパフォーマンスを監視

EM_MONITOR

任意のターゲットの表示

任意のターゲットを表示する機能

Enterprise Managerの監視

VIEW_ANY_TARGET

権限伝播グループの作成

権限伝播グループを作成する機能。権限伝播グループに付与される権限は、そのグループのメンバーにも自動的に付与されます。

任意のターゲットの追加

CREATE_PROPAGATING_GROUP

任意のターゲットの追加

Enterprise Managerでターゲットを追加

CREATE_TARGET

表B-2 特定のターゲットに適用可能なターゲット権限

表示名

説明

内部名

含まれている権限

適用可能なターゲット・タイプ

グループ管理

グループを管理する機能

GROUP_ADMINISTRATION

グループ・メンバーに対する完全ターゲット

グループ

完全ターゲット

ターゲットの削除を含む、ターゲットに対するすべての操作を実行する機能

FULL_TARGET

ターゲットの接続、オペレータ・ターゲット

ターゲットの接続

ターゲットに接続する機能

CONNECT_TARGET

読取り専用でのターゲットの接続

読取り専用でのターゲットの接続

読取り専用モードでターゲットに接続する機能

CONNECT_READONLY_TARGET

オペレータ・ターゲット

ターゲットに対する通常の管理操作(ブラックアウトの構成やターゲット・プロパティの編集など)を行う機能

OPERATOR_TARGET

テンプレート・コレクション操作の管理、ターゲット・パッチの管理、ターゲット・メトリックの管理、ターゲット・コンプライアンスの管理、ターゲット・イベントの管理、ターゲットの構成、ブラックアウト・ターゲット、コマンドの実行

ターゲット・コンプライアンスの管理

ターゲットのコンプライアンスを管理する機能

MANAGE_TARGET_COMPLIANCE

エージェントとしてコマンドを実行

エージェント・ユーザーとして任意のOSコマンドを実行

PERFORM_OPERATION_AS_AGENT

エージェント

エージェントとしてファイルを配置

エージェントのファイルシステムにエージェント・ユーザーとして任意のファイルを配置

PUT_FILE_AS_AGENT

エージェント

コマンドの実行

任意のOSコマンドを実行

PERFORM_OPERATION

ホスト

ターゲット・イベントの管理

イベントのクリア、メトリック・アラート・イベントの再評価、インシデントの作成、インシデントへのイベントの追加、および個々のインシデントに対して管理者が実行できる機能(承認、エスカレーションなど)の定義を行う機能。

MANAGE_TARGET_ALERTS

ターゲットの構成

ターゲットのプロパティを編集したり、監視構成を変更する機能

CONFIGURE_TARGET

ターゲット・パッチの管理

ターゲットでパッチの分析、適用およびロールバックを行う権限

MANAGE_TARGET_PATCH

ブラックアウト・ターゲット

ターゲット・メトリックの管理

メトリックとポリシー設定のしきい値の編集、監視テンプレートの適用およびユーザー定義メトリックの管理を行う機能

MANAGE_TARGET_METRICS

テンプレート・コレクション操作の管理

テンプレート・コレクションを管理グループに関連付けて、ターゲットを関連付けられているテンプレート・コレクションと同期する機能。

MANAGE_TC_OPERATION

ブラックアウト・ターゲット

ターゲットのブラックアウトの作成、編集、スケジュールおよび停止を行う機能

BLACKOUT_TARGET

ターゲットの表示

ターゲットのプロパティ、インベントリおよび監視情報を表示する機能

VIEW_TARGET

リソース権限: これらの権限によって、ユーザーは特定のタイプのリソースに対する操作を行うことができます。次の表に、使用可能なすべてのリソース権限を示します。

表B-3 リソース権限

リソース・タイプ

権限名

説明

内部名

アクセス

Enterprise Managerへのアクセス

Enterprise Managerインタフェースにアクセスする機能

ACCESS_EM

アプリケーション・パフォーマンス管理

実ユーザー・セッション診断

ビジネス・アプリケーションにおいて実ユーザー・セッション診断機能へのアクセスが可能

ACCESS_APM_SESSION_DIAG

アプリケーション・パフォーマンス管理

APMエンティティのビジネス・アプリケーションへの関連付け

アプリケーション・パフォーマンス管理により管理されたエンティティをビジネス・アプリケーションのサービス・ターゲットに関連付け可能

ASSOCIATE_APM_ENTITIES

アプリケーション・パフォーマンス管理

ペイロード・コンテンツの表示

ビジネス・アプリケーションにおいてページ/オブジェクトまたはトランザクション/メッセージのペイロード・コンテンツの表示が可能

VIEW_APM_PAYLOAD

アプリケーション・パフォーマンス管理

ビジネス・アプリケーション・メニュー項目

「ターゲット」メニューにビジネス・アプリケーションメニュー項目を表示

VIEW_BA_MENU_ITEM

アプリケーション・リプレイ・エンティティ

アプリケーション・リプレイ・ビューア

任意のアプリケーション・リプレイ・エンティティの表示

ASREPLAY_VIEWER

アプリケーション・リプレイ・エンティティ

アプリケーション・リプレイ・オペレータ

任意のアプリケーション・リプレイ・エンティティの表示、作成および編集

ASREPLAY_OPERATOR

バックアップ構成

バックアップ構成の作成

バックアップ構成を作成する機能。

CREATE_BACKUP_CONFIG

バックアップ構成

バックアップ構成の編集

バックアップ構成を編集する機能。

EDIT_BACKUP_CONFIG

バックアップ構成

完全なアクセス

バックアップ構成への完全なアクセス。

FULL_BACKUP_CONFIG

バックアップ構成

バックアップ構成の使用

バックアップ構成を使用する機能。

USE_BACKUP_CONFIG

バックアップ・ステータス・レポート

バックアップ・ステータス・レポートの作成

バックアップ・ステータス・レポートの作成機能。

CREATE_BACKUP_REPORT

バックアップ・ステータス・レポート

完全なアクセス

バックアップレポートへの完全なアクセス。

FULL_BACKUP_REPORT

バックアップ・ステータス・レポート

バックアップ・ステータス・レポートの表示

バックアップ・レポートの表示機能。

VIEW_BACKUP_REPORT

変更アクティビティ計画

基本的な変更アクティビティ計画アクセス

基本アクセス権限により、「変更アクティビティ計画」の表示および管理機能を提供。

BASIC_CAP_ACCESS

変更アクティビティ計画

変更アクティビティ計画の作成

作成権限により、「変更アクティビティ計画」の作成、削除および有効化機能を提供。

CREATE_CAP_PLAN

変更計画

変更計画の表示

変更マネージャの変更計画の表示

VIEW_CHANGE_PLAN

変更計画

変更計画の編集

変更マネージャの変更計画の編集

EDIT_CHANGE_PLAN

変更計画

変更計画の管理

変更マネージャの変更計画の作成および削除

MANAGE_ANY_CHANGE_PLAN

クラウド・ポリシー

任意のポリシーの作成

任意のポリシーを作成する機能

CREATE_ANY_POLICY

クラウド・ポリシー

任意のポリシーの表示

任意のポリシーを表示する機能

VIEW_ANY_POLICY

クラウド・ポリシー

ポリシーの表示

ポリシーを表示する機能

VIEW_POLICY

クラウド・ポリシー

ポリシーの変更

ポリシーを変更する機能

MODIFY_POLICY

クラウド・ポリシー

完全なポリシー

ポリシーの表示、変更、削除に必要な権限

FULL_POLICY

クラウド・ポリシー・グループ

ポリシー・グループの作成

ポリシー・グループを作成する機能

CREATE_POLICY_GROUP

クラウド・ポリシー・グループ

任意のポリシー・グループの表示

任意のポリシー・グループを表示する機能

VIEW_ANY_POLICY_GROUP

クラウド・ポリシー・グループ

ポリシー・グループの表示

ポリシー・グループを表示する機能

VIEW_POLICY_GROUP

クラウド・ポリシー・グループ

ポリシー・グループの変更

ポリシー・グループを変更する機能

MODIFY_POLICY_GROUP

クラウド・ポリシー・グループ

完全なポリシー・グループ

ポリシー・グループの表示、変更、削除に必要な権限

FULL_POLICY_GROUP

コンプライアンス・フレームワーク

コンプライアンス・エンティティの作成

コンプライアンス・フレームワーク、標準、ルールを作成する機能

CREATE_COMPLIANCE_ENTITY

コンプライアンス・フレームワーク

完全な任意のコンプライアンス・エンティティ

コンプライアンス・フレームワーク、標準、ルールを編集/削除する機能

FULL_ANY_COMPLIANCE_ENTITY

コンプライアンス・フレームワーク

任意のコンプライアンス・フレームワークの表示

コンプライアンス・フレームワーク定義および結果を表示する機能

VIEW_ANY_COMPLIANCE_FWK

カスタム構成

任意のユーザーが所有するカスタム構成の管理

任意のユーザーが所有するカスタム構成の仕様の新規作成や編集、削除を行う機能

FULL_ANY_CCS

カスタム構成

ユーザーが所有するカスタム構成の管理

ユーザーが所有するカスタム構成の仕様の新規作成や編集、削除を行う機能

FULL_OWNED_CCS

ダッシュボード

サービス・ダッシュボードの作成

SVCD_CREATE_DASH

ダッシュボード

サービス・ダッシュボードの編集

SVCD_EDIT_DASH

データベース・リプレイ・エンティティ

データベース・リプレイ・ビューア

データベース・リプレイ・エンティティの表示機能。

VIEW_DBREPLAY_ENTITY

データベース・リプレイ・エンティティ

データベース・リプレイ・オペレータ

データベース・リプレイ・エンティティの表示、作成および編集機能。

OPERATE_DBREPLAY_ENTITY

デプロイメント・プロシージャ

作成

デプロイメント・プロシージャを作成する機能。

CREATE_DP

デプロイメント・プロシージャ

起動

デプロイメント・プロシージャに対する起動および類似作成操作を行う機能。

LAUNCH_DP

デプロイメント・プロシージャ

完全

デプロイメント・プロシージャに対する起動、類似作成、構造の編集および削除操作を行う機能。

FULL_DP

デプロイメント・プロシージャ

インポート

デプロイメント・プロシージャを作成する機能とカスタマイズされたデプロイメント・プロシージャをインポート/エクスポートする機能。

IMPORT_DP

デプロイメント・プロシージャ

起動権限の付与

デプロイメント・プロシージャに対する起動権限を付与する機能。

GRANT_LAUNCH_DP

デプロイメント・プロシージャ

完全な権限の付与

デプロイメント・プロシージャに対する完全な権限を付与する機能。

GRANT_FULL_DP

Enterprise Managerの高可用性

Enterprise Managerの高可用性管理

Enterprise Managerの高可用性を管理するためのアクセス権の付与

EMHA_ADMINISTRATION

Enterprise Managerプラグイン

プラグイン・エージェント管理者

エージェントでEnterprise Managerプラグインを管理するためのアクセス権の付与

PLUGIN_AGENT_ADMINISTRATOR

Enterprise Managerプラグイン

プラグインOMS管理者

管理サーバーでEnterprise Managerプラグインを管理するためのアクセス権の付与

PLUGIN_OMS_ADMINISTRATOR

Enterprise Managerプラグイン

プラグイン表示権限

Enterprise Managerプラグイン・ライフサイクル・コンソールを管理するためのアクセス権の付与

PLUGIN_VIEW

Fusion MiddleWareオフライン診断

オブジェクトの表示

オフライン診断オブジェクトを表示する機能

VIEW_OBJECT

Fusion MiddleWareオフライン診断

オブジェクトの作成

オフライン診断オブジェクト・ライフサイクルを管理する機能

CREATE_OBJECT

JVM診断

JVM診断管理者

すべてのJVM診断管理操作を管理できます。

AD4J_ADMINISTRATOR

JVM診断

JVM診断ユーザー

JVM診断データを表示できます。

AD4J_USER

JVM診断

JVM診断表示ローカル権限

JVM診断フレーム・ローカル・データの表示機能を提供。

JVMD_VIEW_LOCALS_PRIV

ジョブ・システム

作成

ジョブの発行、ライブラリ・ジョブの作成、デプロイメント・プロシージャ・インスタンスの作成およびデプロイメント・プロシージャ構成の作成を行う機能。

CREATE_JOB

ジョブ・システム

表示

表示、ジョブに対する類似作成、デプロイメント・プロシージャの起動およびデプロイメント・プロシージャ・インスタンスの表示を行う機能。

VIEW_JOB

ジョブ・システム

表示権限の付与

ジョブに対する表示権限を付与する機能。

GRANT_VIEW_JOB

ジョブ・システム

管理

ジョブ、ライブラリ・ジョブ、デプロイメント・プロシージャ構成およびデプロイメント・プロシージャ・インスタンスに対する編集と削除以外の様々な操作を行う機能。

MANAGE_JOB

ジョブ・システム

完全

ジョブ、ライブラリ・ジョブ、デプロイメント・プロシージャ構成およびデプロイメント・プロシージャ・インスタンスに対するすべての有効な操作を行う機能。

FULL_JOB

Linuxパッチ適用

Linuxパッチ適用の設定

Linuxパッチ適用設定の実行機能。

LINUX_PATCHING_SETUP

メトリック拡張

メトリック拡張の新規作成

新規メトリック拡張の作成またはインポート

CREATE_MEXT

メトリック拡張

MEXTの編集

メトリック拡張オブジェクトを編集したり、次のバージョンを作成できますが、削除できません。

EDIT_MEXT

メトリック拡張

完全なMEXT

メトリック拡張オブジェクトの編集および削除を行うための完全なアクセス権の付与

FULL_MEXT

名前付き資格証明

資格証明の編集

ユーザーは資格証明を更新できますが、削除できません。

EDIT_CREDENTIAL

名前付き資格証明

完全な資格証明

完全な資格証明

FULL_CREDENTIAL

名前付き資格証明

資格証明の表示

資格証明の表示

GET_CREDENTIAL

名前付き資格証明

名前付き資格証明の新規作成

新規名前付き資格証明を作成する機能

CREATE_CREDENTIAL

OMS構成プロパティ

OMS構成プロパティの表示

OMS構成プロパティの表示へのアクセスを提供

VIEW_ANY_OMS_PROPERTY

OMS構成プロパティ

OMS構成プロパティの表示/編集

OMS構成プロパティの表示または編集へのアクセスを提供

MANAGE_ANY_OMS_PROPERTY

パッチ計画

パッチ計画の作成

パッチ計画オブジェクトを作成するための権限

CREATE_PATCH_PLAN

パッチ計画

パッチ計画テンプレートの作成

パッチ計画テンプレート・オブジェクトを作成するための権限

CREATE_PLAN_TEMPLATE

パッチ計画

パッチ計画の表示

パッチ計画オブジェクトを表示する権限

VIEW_PATCH_PLAN

パッチ計画

完全なパッチ計画

パッチ計画オブジェクトの表示、変更、実行および削除を行う権限

FULL_PATCH_PLAN

パッチ計画

任意のパッチ計画の表示

任意のパッチ計画オブジェクトを表示する権限

VIEW_ANY_PATCH_PLAN

パッチ計画

パッチ計画テンプレートの表示

任意のパッチ計画テンプレート・オブジェクトを表示する権限

VIEW_ANY_PLAN_TEMPLATE

パッチ計画

パッチ計画に関する権限の管理

パッチ計画オブジェクトに対する権限を付与または取り消す権限

MANAGE_PRIV_PATCH_PLAN

パッチ計画

任意のパッチ計画に対する完全な権限

任意のパッチ計画オブジェクトの表示、変更、実行および削除を行う権限

FULL_ANY_PATCH_PLAN

パッチ計画

パッチ計画に関する権限の管理

任意のパッチ計画オブジェクトに対する権限を付与または取り消す権限

MANAGE_PRIV_ANY_PATCH_PLAN

パッチ計画

パッチ設定用権限

任意のパッチ計画オブジェクトに権限を付与する権限

PATCH_SETUP

パッチ適用設定

オフライン・パッチ適用の設定

オフライン・パッチ適用設定の実行機能。

SETUP_OFFLINE_PATCHING

プロキシ設定

エージェントに接続するプロキシの設定

Oracle Management Server (OMS)によりエージェントへの接続に使用できるプロキシ・サーバーを設定する機能。

SETUP_PROXY_FOR_AGENTS

プロキシ設定

My Oracle Supportに接続するプロキシの設定

Oracle Management Service (OMS)によりMy Oracle Supportへの接続に使用できるプロキシ・サーバーを設定する機能

SETUP_PROXY_FOR_MOS

レポート

レポートの公開

一般閲覧用にレポートを公開する機能

PUBLISH_REPORT

レポート

レポートの表示

レポート定義と格納されているレポートの表示、オンデマンド・レポートの生成および類似作成を行う機能

VIEW_REPORT

リクエスト・モニタリング

リクエスト・モニタリング管理者

すべてのリクエスト監視管理操作を管理できます。

BTM_ADMINISTRATOR

リクエスト・モニタリング

リクエスト・モニタリング・ユーザー

リクエスト監視データを表示できます。

BTM_USER

ルールセット

ビジネス・ルールセットの作成

ビジネス・ルールセットの作成

CREATE_BUSINESS_RULESET

ルールセット

ビジネス・ルールセットの編集

ビジネス・ルールセットの編集

EDIT_BUSINESS_RULESET

自己更新

任意のEnterprise Managerの更新の表示

任意のEnterprise Managerの更新を表示するためのアクセス権の付与

VIEW_ANY_SELFUPDATE

自己更新

自己更新管理者

Enterprise Managerの更新を管理するためのアクセス権の付与

SELFUPDATE_ADMINISTRATOR

ソフトウェア・ライブラリ管理

ソフトウェア・ライブラリ記憶域の管理

アップロード場所や参照ファイルの保管場所の管理、エンティティのインポートおよびエクスポート、削除されたエンティティのパージを行う機能

SWLIB_STORAGE_ADMIN

ソフトウェア・ライブラリ・エンティティ

任意のソフトウェア・ライブラリ・エンティティの作成

任意のソフトウェア・ライブラリ・エンティティを作成する機能

SWLIB_CREATE_ANY_ENTITY

ソフトウェア・ライブラリ・エンティティ

任意のソフトウェア・ライブラリ・エンティティの編集

任意のソフトウェア・ライブラリ・エンティティを編集する機能

SWLIB_EDIT_ANY_ENTITY

ソフトウェア・ライブラリ・エンティティ

ソフトウェア・ライブラリ・エンティティの編集

ソフトウェア・ライブラリ・エンティティを編集する機能

SWLIB_EDIT_ENTITY

ソフトウェア・ライブラリ・エンティティ

任意のソフトウェア・ライブラリ・エンティティのエクスポート

任意のソフトウェア・ライブラリ・エンティティを表示したり、プロビジョニング・アーカイブ(PAR)ファイルにエクスポートする機能

SWLIB_EXPORT

ソフトウェア・ライブラリ・エンティティ

任意のエンティティ権限の付与

任意のソフトウェア・ライブラリ・エンティティに対する表示、編集および削除の権限を付与する機能。エンティティに対する権限を付与するユーザーがスーパー管理者やエンティティの所有者ではない場合、この権限は必須です。

SWLIB_GRANT_ANY_ENTITY_PRIV

ソフトウェア・ライブラリ・エンティティ

任意のソフトウェア・ライブラリ・エンティティのインポート

任意のソフトウェア・ライブラリ・エンティティをプロビジョニング・アーカイブ(PAR)ファイルからインポートする機能

SWLIB_IMPORT

ソフトウェア・ライブラリ・エンティティ

任意のソフトウェア・ライブラリ・エンティティの管理

任意のソフトウェア・ライブラリ・エンティティの作成、表示、編集および削除を行う機能

SWLIB_MANAGE_ANY_ENTITY

ソフトウェア・ライブラリ・エンティティ

エンティティの管理

ソフトウェア・ライブラリ・エンティティの表示、編集および削除を行う機能

SWLIB_MANAGE_ENTITY

ソフトウェア・ライブラリ・エンティティ

任意のソフトウェア・ライブラリ・エンティティの表示

任意のソフトウェア・ライブラリ・エンティティを表示する機能

SWLIB_VIEW_ANY_ENTITY

ソフトウェア・ライブラリ・エンティティ

ソフトウェア・ライブラリ・エンティティの表示

ソフトウェア・ライブラリ・エンティティを表示する機能

SWLIB_VIEW_ENTITY

ソフトウェア・ライブラリ・エンティティ

Oracle Load Testingシナリオ・エンティティの表示

Oracle Load Testingシナリオ・エンティティの表示機能

VIEW_ANY_SWLIB_OLT_SCE_ENTITY

ソフトウェア・ライブラリ・エンティティ

任意のユーザー定義テスト・エンティティの表示

任意のユーザー定義テスト・エンティティを表示する機能

VIEW_ANY_SWLIB_USERTEST_ENTITY

ソフトウェア・ライブラリ・エンティティ

任意のテンプレート・エンティティの表示

テンプレート・エンティティを表示できます。

VIEW_ANY_SWLIB_TEMPLATE_ENTITY

ソフトウェア・ライブラリ・エンティティ

任意の仮想ディスク・エンティティの表示

任意の仮想ディスク・エンティティを表示する機能

VIEW_ANY_SWLIB_V_DISK_ENTITY

ソフトウェア・ライブラリ・エンティティ

任意のアセンブリ・エンティティの表示

アセンブリ・エンティティを表示する機能

VIEW_ANY_SWLIB_ASSEMBLY_ENTITY

ソフトウェア・ライブラリ・エンティティ

任意のISOエンティティの表示

ISOエンティティを表示する機能

VIEW_ANY_SWLIB_ISO_ENTITY

システム

ロールの作成およびシステムの管理

システム内の任意のターゲットにすべての権限を付与

CREATE_ROLE
MANAGE_SYSTEM_ROLES

ターゲット検出フレームワーク

ネットワークのスキャン

ホスト検出構成の作成、編集および削除を行う機能

CAN_SCAN_NETWORK_PRIVILEGE

ターゲット検出フレームワーク

検出された任意のホストの表示

検出された任意のホストを表示する機能

VIEW_ANY_DISCOVERED_HOSTS

ターゲット検出フレームワーク

ホストで検出された任意のターゲットの表示

ホストで検出された任意のターゲットを表示する機能

VIEW_ANY_DISC_TARGETS_ON_HOST

テンプレート

テンプレートの表示

テンプレートを表示し、「ターゲット・メトリックの管理」を持つ任意のターゲットに適用する機能

VIEW_TEMPLATE

C 監査操作

現在の監査操作のリストを表示するには、次のいずれかを実行します。

- Enterprise Managerセキュリティ・コンソールから、次のようにします。

1. Enterprise Managerで、「設定」メニューから「セキュリティ」>「セキュリティ・コンソール」を選択します。

2. 「Enterprise Managerセキュリティ」で「包括的な監査」をクリックします。

3. 「監査操作」タブを選択します。
監査操作のリストが表示されます。

- Enterprise Managerコマンドライン・インタフェース(EM CLI)を使用して、次のコマンドを入力します。

$ emcli show_operations_list

監査操作のリストが表示されます。

索引
A B C D E F G H I L M N O P R S T U V

A

アクセス制御, 2.4.1.1.2

管理グループ, 権限伝播, 2.2.3

管理者, 2.2.1.1

エージェント登録パスワード, 2.3.2

変更, 2.3.4

AGENT_HOME/network/admin, 2.3.6.4, 2.3.6.4 エージェント, 保護, 3.1.3 アプリケーションDBAアクセス, 4.1.2 アプリケーション開発者アクセス, 4.1.3 攻撃, 中間者攻撃, 1.1 攻撃, サービス拒否, 1.1 攻撃, パスワード解析, 1.1 監査データ, 2.6.6 監査データ・エクスポート・サービス, 2.6.4 監査設定, 2.6.5 SYSアクションの監査, 3.1.2.1.2 監査, 管理, 2.6 監査対象操作, 2.6.7 監査, ガイドライン, 3.5 監査, インフラストラクチャ, 2.6.8 認証, 2.1 認証スキーム, 2.1.1 認証, 新規管理者の作成, 2.1.2 認証, エンタープライズ・ユーザー・セキュリティベース, 2.1.4 認可, ガイドライン, 3.4 認可, 権限とロール, 2.2 自動プロビジョニング, 2.1.7.1, 2.1.7.2

B

基本監査, 2.6.1

C

認証局, 2.3.2.2

「証明書」ダイアログ・ボックス

Internet Explorer, 2.7.2.2

暗号, 3.2.3 資格証明プリファレンス, 階層, 2.4.1.4.3 資格証明サブシステム, 2.4.1 暗号化鍵, 2.5 カスタムCA証明書, インポート, 2.3.7.1.2 WebLogic Server用のカスタム証明書, 2.3.7.1

D

データベース管理者によるアクセス, 4.1.5

デフォルトの認証, 2.1.2.2

デフォルトの認証方法, 復元, 2.1.12

管理者の削除, 2.1.3

サービス拒否, 攻撃, 1.1

高度なセキュリティオプション, 3.1.2.1

E

emctl

secure agentユーティリティ, 2.3.3

secure agentユーティリティ, 出力例, 2.3.3

secure omsユーティリティ, 2.3.2

secure omsユーティリティ, 出力例, 2.3.2

セキュリティ・コマンド, 2.3.2

emctlコマンド

secure setpwd, 2.3.4.2

secure unlock, 2.3.5

start oms, 出力例, 2.5.1

emkey, 2.5.1 emoms.properties

oracle.net.crypto_checksum_client, 2.3.6.2

oracle.net.crypto_checksum_types_client, 2.3.6.2

oracle.net.encryption_client, 2.3.6.2

oracle.net.encryption_types_client, 2.3.6.2

oracle.sysman.emRep.dbConn.enableEncryption, 2.3.6.2

暗号化, 1.2.2 暗号化鍵, バックアップ, 3.1.2.1.4 Enterprise Manager Framework Security

管理リポジトリに対する有効化, 2.3.6

HTTPアクセスの制限, 2.3.5

セキュアな接続の種類, 2.3.1

Enterprise Managerユーザー属性, 2.1.8 Enterprise Manager, 保護, 1 エンタープライズ・ユーザー・セキュリティベースの認証, 2.1.1 エンタープライズ・ユーザー・セキュリティ, 構成,2.1.11 エンタープライズ・ユーザー(EUSユーザー), 登録, 2.1.4.1 権限, 2.2.3.3 外部認証, 3.3.1 外部認可, 2.1.7 外部ロール, 2.1.7

F

ファイングレイン・アクセス制御, 4.1

柔軟なデータベース・アクセス制御, 4.1

FULL, 2.2.2.2

G

get_db_account, 4.3

get_db_profile, 4.3

グローバル名前付き資格証明, 2.4.1.1.1

グローバル優先資格証明, 2.4.1.4.1

H

ホスト優先資格証明, 2.4.1.8.3, 2.4.1.8.4

HTTPアクセス, 制限, 2.3.5

HTTPS, 2.3.1

I

ICMP, 3.1.4.1

Internet Explorer

「証明書」ダイアログ・ボックス, 2.7.2.2

「セキュリティの警告」ダイアログ・ボックス, 2.7.2.2

L

LDAP認証, 2.1.1

LDAPサーバー, タイムアウト, 5.1.4

LDAPユーザー属性, 2.1.8

ldap_trace.logATN, 5.1.5

LDAP/SSOプロバイダ, 2.1.10

M

管理リポジトリ, 再作成, 2.5.3.4

資格証明の管理

EM CLI, 2.4.1.7

中間者, 攻撃, 1.1 Microsoft Active Directory, 2.1.6 監視資格証明, 2.4.1.3

N

名前付き資格証明, 2.4.1.1

名前付き資格証明, 作成, 2.4.1.1.3

ネットワーク・アクセス, 制限, 3.1.2.1.1

network/admin, 2.3.6.1, 2.3.6.3, 2.3.6.4, 2.3.6.4

非拒否, 1.2.4

O

OID, 2.1.5

OMSセキュリティ, 2.3.2

OPERATOR, 2.2.2.2

ORA-12645(セキュリティ)

パラメータが存在しません。, 2.3.6.1

Oracle Access Manager (OAM) SSO, 2.1.1 Oracle Advanced Security, 2.3.1, 2.3.6.1

管理リポジトリに対する有効化, 2.3.6.3

管理エージェントに対する有効化, 2.3.6.4

Oracle AS SSO 10g, 2.1.10.1.2 Oracle Internet Directory, 2.1.5 Oracle Management Agent

セキュリティの有効化, 2.3.3, 2.3.6.4

Oracle Management Repository

Oracle Advanced Securityの有効化, 2.3.6.3

セキュリティの有効化, 2.3.6

Oracle Management Service

セキュリティの有効化, 2.3.2

ORACLE_HOME/network/admin, 2.3.6.1, 2.3.6.3 oracle.net.crypto_checksum_client

emoms.properties内のプロパティ, 2.3.6.2

oracle.net.crypto_checksum_types_client

emoms.properties内のプロパティ, 2.3.6.2

oracle.net.encryption_client

emoms.properties内のプロパティ, 2.3.6.2

oracle.net.encryption_types_client

emoms.properties内のプロパティ, 2.3.6.2

oracle.sysman.emRep.dbConn.enableEncryption

emoms.propertiesのエントリ, 2.3.6.2

P

PAM認証

認証, PAM, 2.4.1.8.5

PAM, 構成, 2.4.1.8.6 PowerBroker, 2.4.1.8.7 優先資格証明, 2.4.1.4 最低限の権限の原則, 1.2.1 権限委任, 2.4.1.8.17 権限グループ, 4.1.6 権限伝播グループ, 2.2.3 権限伝播グループ, 3.4.3 権限およびロール, 2.2.2 権限, 付与, 2.2.2.2 公開鍵インフラストラクチャ(PKI), 2.3.1

R

リポジトリ所有者, 2.2.1.1

リポジトリベースの認証, 2.1.1

権限を管理するロール, 2.2.2.6

ルート・パスワード

管理サービスのセキュリティの有効設定時, 2.3.2

「SYSMAN」も参照

S

通信の保護, 2.3

インフラストラクチャの保護, 3.1

セキュアロック・モード, 3.2.2

セキュリティ

アラート・ダイアログ・ボックス

Internet Explorer, 2.7.2.2

証明書アラート

対応, 2.7.2

セキュリティに関する考慮事項, 1 セキュリティの原則, 1.2 セキュリティの脅威, 1.1 職務分離, 1.2.1 サーバー・ロード・バランサ, 2.3.2.1 SQLNET.CRYPTO_SEED

sqlnet.oraのエントリ, 2.3.6.3, 2.3.6.4

SQLNET.ENCRYPTION_SERVER

sqlnet.oraのエントリ, 2.3.6.3

sqlnet.ora, 2.3.6.1

SQLNET.CRYPTO_SEED, 2.3.6.3, 2.3.6.4

SQLNET.ENCRYPTION_SERVER, 2.3.6.3

SSL通信, 3.2 Sudo, 2.4.1.8.7 スーパー管理者, 2.2.1.1 疑わしいアクティビティ, 1.2.3 SYSMAN

セキュリティ有効設定時のSYSMANパスワードの入力, 2.3.2

T

ターゲット資格証明, 2.4

ターゲット名前付き資格証明, 2.4.1.1.1

ターゲット権限, 2.2.2.2

TCPS, 4.2

サード・パーティの証明書, 2.3.9

TLSv1プロトコル, 3.2.1

Transport Layer Security, 2.3.2.4

認証のトラブルシューティング, 5.1

U

update_db_account_status, 4.3

update_db_password, 4.3

ユーザー・アカウント, 保護, 3.1.2.1.3

ユーザー表示名, 2.1.9

ユーザー, クラス, 2.2.1.1

ユーザー, 権限トロール, 2.2.1

V

VIEW, 2.2.2.2

アクセスの表示, 付与, 2.2.3.2

オラクルの法律上の注意点について

コピーライトについて

Copyright © 1994-2016, Oracle and/or its affiliates.All rights reserved.

ライセンス制約の保証と結果的に生じる損害の免責

このソフトウェアおよび関連ドキュメントの使用と開示は、ライセンス契約の制約条件に従うものとし、知的財産に関する法律により保護されています。ライセンス契約で明示的に許諾されている場合もしくは法律によって認められている場合を除き、形式、手段に関係なく、いかなる部分も使用、複写、複製、翻訳、放送、修正、ライセンス供与、送信、配布、発表、実行、公開または表示することはできません。このソフトウェアのリバース・エンジニアリング、逆アセンブル、逆コンパイルは互換性のために法律によって規定されている場合を除き、禁止されています。

保証免責

ここに記載された情報は予告なしに変更される場合があります。また、誤りが無いことの保証はいたしかねます。誤りを見つけた場合は、オラクルまでご連絡ください。

制限付権利について

このソフトウェアまたは関連ドキュメントを、米国政府機関もしくは米国政府機関に代わってこのソフトウェアまたは関連ドキュメントをライセンスされた者に提供する場合は、次の通知が適用されます。

U.S. GOVERNMENT END USERS: Oracle programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, delivered to U.S. Government end users are "commercial computer software" pursuant to the applicable Federal Acquisition Regulation and agency-specific supplemental regulations.As such, use, duplication, disclosure, modification, and adaptation of the programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, shall be subject to license terms and license restrictions applicable to the programs.No other rights are granted to the U.S. Government.

危険な用途への使用について

このソフトウェアまたはハードウェアは様々な情報管理アプリケーションでの一般的な使用のために開発されたものです。このソフトウェアまたはハードウェアは、危険が伴うアプリケーション(人的傷害を発生させる可能性があるアプリケーションを含む)への用途を目的として開発されていません。このソフトウェアまたはハードウェアを危険が伴うアプリケーションで使用する際、安全に使用するために、適切な安全装置、バックアップ、冗長性(redundancy)、その他の対策を講じることは使用者の責任となります。このソフトウェアまたはハードウェアを危険が伴うアプリケーションで使用したことに起因して損害が発生しても、Oracle Corporationおよびその関連会社は一切の責任を負いかねます。

商標と登録商標について

OracleおよびJavaはオラクルおよびその関連会社の登録商標です。その他の社名、商品名等は各社の商標または登録商標である場合があります。

Intel、Intel Xeonは、Intel Corporationの商標または登録商標です。すべてのSPARCの商標はライセンスをもとに使用し、SPARC International, Inc.の商標または登録商標です。AMD、Opteron、AMDロゴ、AMD Opteronロゴは、Advanced Micro Devices, Inc.の商標または登録商標です。UNIXは、The Open Groupの登録商標です。

第三者のコンテンツ、製品、サービスに対する免責事項

このソフトウェアまたはハードウェア、そしてドキュメントは、第三者のコンテンツ、製品、サービスへのアクセス、あるいはそれらに関する情報を提供することがあります。適用されるお客様とOracle Corporationとの間の契約に別段の定めがある場合を除いて、Oracle Corporationおよびその関連会社は、第三者のコンテンツ、製品、サービスに関して一切の責任を負わず、いかなる保証もいたしません。適用されるお客様とOracle Corporationとの間の契約に定めがある場合を除いて、Oracle Corporationおよびその関連会社は、第三者のコンテンツ、製品、サービスへのアクセスまたは使用によって損失、費用、あるいは損害が発生しても一切の責任を負いかねます。

アルファ版およびベータ版ドラフト・ドキュメントについて

このドキュメントが試作版の場合:

このドキュメントは試作版であり、デモおよび暫定使用のみを目的としたものです。このソフトウェアを使用するハードウェアに限定するものではありません。Oracle Corporationおよびその関連会社は、このドキュメントに関して一切の責任を負わず、いかなる保証もいたしません。また、このドキュメントを使用したことによって損失、費用、あるいは損害が発生しても、一切の責任を負いかねます。

非公開のアルファ版およびベータ版ドラフト・ドキュメントについて

このドキュメントが非公開の試作版の場合:

このドキュメントに含まれる情報は、情報の共有のみを目的としたものであって、顧客諮問委員会(Customer Advisory Board)のメンバーとしてのお客様の立場でのみ、またはお客様のベータ・トライアル契約のみに従って検討されるべきものとします。マテリアル、コード、または機能の提供をお約束するものではなく、購入決定を行う際の判断材料とすべきではありません。このドキュメントに記載されている特徴または機能の開発、リリースおよび時期については、オラクルの裁量により決定されます。

このドキュメントには、ソフトウェアまたは印刷物などの形式を問わず、オラクルが独占的な権利を有する財産的情報が含まれています。この機密資料へのアクセスと使用は、お客様とオラクルとの間で締結され、お客様が遵守に同意した、Oracle Master Agreement、Oracle License and Oracle Services Agreement (オラクル・ライセンスおよびサービスに関する契約書)、Oracle PartnerNetwork Agreement、Oracle Distribution Agreementまたはその他のライセンス契約の条件に従うものとします。このドキュメントとその内容の開示、コピー、複製および配布には、オラクルによる事前の承諾を必要とします。このドキュメントはライセンス契約の一部となるものではなく、オラクルおよびその子会社や関連会社との契約を構成するものではありません。

ドキュメントのアクセシビリティについて

オラクルのアクセシビリティについての詳細情報は、Oracle Accessibility ProgramのWebサイトhttp://www.oracle.com/pls/topic/lookup?ctx=acc&id=docacc を参照してください。

Oracle Supportへのアクセス

サポートをご契約のお客様には、My Oracle Supportを通して電子支援サービスを提供しています。詳細情報はhttp://www.oracle.com/pls/topic/lookup?ctx=acc&id=infoか、聴覚に障害のあるお客様はhttp://www.oracle.com/pls/topic/lookup?ctx=acc&id=trsを参照してください。