| Oracle® Key Vault管理者ガイド リリース12.2 BP11 E76998-09 |
|
 前 |
 次 |
一般的な管理は、システムおよび監査の各管理タスクで構成されます。これらのタスクを実行するには、システム管理者ロールおよび監査マネージャ・ロールを持つ管理ユーザーである必要があります。
システム管理者は、システム設定、リモート・モニタリング、電子メール通知、バックアップおよびリカバリを構成します。監査マネージャは、アラートを構成したり、システム診断をダウンロードして詳細なデバッグおよび分析を行います。
SNMPを有効にすると、システム管理者はKey Vaultアプライアンスとそのサービスをリモートでモニタリングできます。収集されたデータは、企業のニーズに応じてさらに処理して提示できます。
親トピック: 一般的なOracle Key Vaultの管理
Simple Network Management Protocol (SNMP)を使用して、ネットワーク上のデバイスのリソース使用状況を監視できます。
Oracle Key Vaultのモニタリングは、数百、数千のOracleおよびMySQLのデータベースがそれぞれのTDEマスター暗号化キーをOracle Key Vaultに格納する場合に、Oracle Key Vaultの可用性がどれほど重要であるかを示す重大な側面です。監視する必要があるリソース使用状況のタイプには、メモリー、CPU使用率およびプロセスがあります。
簡易ネットワーク管理プロトコル(SNMP)のサード・パーティ・ツールを使用すると、Oracle Key Vaultにアクセスするリモート・システムを監視できます。SNMPを使用してOracle Key Vaultを監視する利点は次のとおりです。
Oracle Key Vaultでは、ユーザー認証およびデータ暗号化機能にSNMPバージョン3が使用されます。読取り可能でセキュアでないプレーンテキストで通信が行われるSNMPバージョン1および2とは異なり、SNMP 3では、ユーザーが認証され、モニタリング・サーバーとターゲットの間の通信チャネル上のデータが暗号化されます。侵入者が通信チャネルを傍受したとしても、Oracle Key Vaultからの情報を読み取ることはできません。
さらに、Oracle Key VaultでSNMPを有効にすると、キー管理サーバー(KMIPデーモン)が稼働しているかどうかを確認できます。Oracle Key VaultにはSNMPクライアント・ソフトウェアが用意されていないため、この情報を追跡するには、サード・パーティのSNMPクライアントを使用してOracle Key Vaultインスタンスをポーリングする必要があります。
Oracle Key Vaultでは、SNMP資格証明の作成と変更が監査されます。
ユーザー名およびパスワードを持つSNMPアカウントを構成するには、システム管理者ロールを持つユーザーである必要があります。SNMPデータにアクセスする際には、これらのSNMP資格証明が必要になります。
注意:
SNMPユーザー名およびパスワードが、Oracle Key Vault管理ユーザー・アカウント(システム管理者、キー管理者または監査マネージャ・ロール)のいずれのユーザー名およびパスワードとも同じでないことを確認する必要があります。
親トピック: SNMPを使用したリモート・モニタリング
親トピック: SNMPを使用したリモート・モニタリング
親トピック: SNMPを使用したリモート・モニタリング
SNMP設定は、スタンバイ・サーバー上のコマンドラインから変更します。プライマリ・スタンバイ環境でSNMPサポートを追加するには、プライマリ・サーバーとスタンバイ・サーバーをペアにする前に、両方のサーバーでSNMPを構成する必要があります。これは、すべてのリクエストがプライマリ・サーバーに転送され、Oracle Key Vault管理コンソールからスタンバイ・サーバーにアクセスできなくなるためです。ただし、プライマリ・スタンバイ環境でスタンバイ・サーバー上のSNMP設定を変更できます。
次の例では、スタンバイ・サーバー上のSNMP設定を変更する方法を示します。
snmpuserおよびパスワードpasswordを割り当てる方法は、次のとおりです。./stdby_snmp_enable -a "all" -u "snmpuser" -p "password"
./stdby_snmp_enable -a "disabled"
snmpuserおよびパスワードpasswordを割り当てる方法は、次のとおりです。./stdby_snmp_enable -a "192.0.2.1 192.0.2.3 192.0.2.3" -u "snmpuser" -p "password"
親トピック: SNMPを使用したリモート・モニタリング
snmpwalkおよびsnmpgetを使用して提示されています。 親トピック: SNMPを使用したリモート・モニタリング
Oracle Key Vaultには、追跡可能な一連のSNMP管理情報ベース(MIB)変数が用意されています。
次の表に、サポートされているMIB変数の一覧を示します。
表12-1 SNMPでOracle Key Vaultの追跡に使用されるMIB
| MIB変数 | オブジェクトID | 説明 |
|---|---|---|
|
1.3.6.1.2.1.25.1.1 |
Oracle Key Vaultインスタンスの実行時間を追跡します。 |
|
1.3.6.1.2.1.2.2.1.7 |
Oracle Key Vaultネットワーク・インタフェース(
|
|
1.3.6.1.4.1.2021.4.6 |
使用可能なRAMを追跡します。 |
|
1.3.6.1.4.1.2021.4.5 |
RAMの合計使用量を追跡します。 |
|
1.3.6.1.4.1.2021.11.53 |
CPUをモニタリングする場合に、アイドル状態で費やされたティック数(通常1/100秒単位)を追跡します。 |
|
1.3.6.1.4.1.2021.11.56 |
CPUをモニタリングする場合に、ハードウェアの中断の処理に費やされたティック数(通常1/100秒単位)を追跡します。 |
|
1.3.6.1.4.1.2021.11.55 |
CPUをモニタリングする場合に、カーネルレベルのコードの処理に費やされたティック数(通常1/100秒単位)を追跡します。 |
|
1.3.6.1.4.1.2021.11.51 |
CPUをモニタリングする場合に、優先順位の低いコードの処理に費やされたティック数(通常1/100秒単位)を追跡します。 |
|
1.3.6.1.4.1.2021.11.52 |
CPUをモニタリングする場合に、システムレベルのコードの処理に費やされたティック数(通常1/100秒単位)を追跡します。 |
|
1.3.6.1.4.1.2021.11.50 |
CPUをモニタリングする場合に、ユーザーレベルのコードの処理に費やされたティック数(通常1/100秒単位)を追跡します。 |
|
1.3.6.1.4.1.2021.11.54 |
CPUをモニタリングする場合に、入出力(IO)待ち状態で費やされたティック数(通常1/100秒単位)を追跡します。 |
|
1.3.6.1.4.1.2021.2 |
特定の名前で実行されているプロセスの数を追跡します。モニタリング対象の名前は、 |
関連項目:
詳細は、http://www.net-snmp.orgでNet-SNMPのドキュメントを参照してください。
親トピック: SNMPを使用したリモート・モニタリング
Linuxでは、Oracle Key Vault情報を検索するために手動で入力したSNMPコマンドを簡略化できますが、有益で詳細な出力も引き続き利用できます。
この項の構成では、信頼できるユーザーにSNMPアクセス権を付与していることを前提としています。また、Oracle Key Vaultを監視するリモート・ホストにSNMP管理情報ベース(MIB)の変数がインストールされていることも前提としています。
たとえば、snmp_adminというSNMPユーザーに関する長いバージョンのsnmpwalkコマンドは次のとおりです。
snmpwalk -v3 OKV_IP_address -n "" -l authPriv -u snmp_admin -a SHA -A snmp_user_password -x AES -X snmp_user_password
このコマンドでは、Oracle Key Vaultで実行されている重要なサービスをリストします。ただし、このコマンド(および他のSNMPコマンド)を変更して短くするだけでなく、サービスが実行中か停止中かなどの追加情報を表示することも可能です。
このタイプのコマンドを簡略化するために、入力するSNMPコマンドに、デフォルトのユーザーやデフォルトのセキュリティ・レベルなど、よく使用される設定が自動的に含まれるように/etc/snmp/snmp.conf構成ファイルを編集できます。このトピックの例では、ユーザーが対話形式でパスワードをコマンドラインに入力できるように、パスワード・パラメータが省略されています。
/etc/snmp/snmp.confを編集します。 # As the snmp packages come without MIB files due to license reasons, # loading MIBs is disabled by default. If you added the MIBs you # can reenable loading them by commenting out the following line. mibs :
# mibs :行をコメント・アウトしてから、次のように、次の行を追加します。# loading MIBs is disabled by default. If you added the MIBs you # can reenable loading them by commenting out the following line. # mibs : defSecurityName snmp_admin defSecurityLevel authPriv defAuthType SHA defPrivType AES
この例の詳細は次のとおりです。
defSecurityName: SNMPアクセス権を付与したユーザーの名前を入力します。この例では、snmp_adminを使用します。 defSecurityLevel: 使用するデフォルトのセキュリティ・レベルを入力します。この例では、authPrivを使用し、これにより、認証およびプライバシによる通信が可能になります。 defAuthType: デフォルトの認可タイプを入力します。この例では、SHAを使用します。 defPrivType: デフォルトの権限タイプを入力します。この例では、AESを使用します。 snmpdを再起動して構成ファイルをロードします。 たとえば、Linux 7の場合:
systemctl restart snmpd
Linux 6の場合:
service snmpd restart
snmpwalkコマンドの簡略化したバージョンを実行するには、次のコマンドを入力します。 snmpwalk okv_ip_address prNames -A snmp_user_pwd -X snmp_user_pwd
このコマンドでは、prNamesは"プロセス名"を表し、プロセスの数ではなく名前を表示します。次に例を示します。
$ snmpwalk 192.0.2.254 prNames -A snmp_user_pwd -X snmp_user_pwd UCD-SNMP-MIB::prNames.1 = STRING: mwecsvc UCD-SNMP-MIB::prNames.2 = STRING: httpd UCD-SNMP-MIB::prNames.3 = STRING: kmipd UCD-SNMP-MIB::prNames.4 = STRING: ora_pmon_dbfwdb
snmptableコマンドの実行例は、次のようになります。 snmptable okv_ip_address prTable -A snmp_user_pwd -X snmp_user_pwd
出力は、次のようになります。
SNMP table: UCD-SNMP-MIB::prTable
prIndex prNames prMin prMax prCount prErrorFlag prErrMessage prErrFix prErrFixCmd
1 mwecsvc 1 1 1 noError noError
2 httpd 1 20 9 noError noError
3 kmipd 1 2 2 noError noError
4 ora_pmon_dbfwdb 1 1 1 noError noError
次の例は、snmpdfコマンドを実行する方法を示しています。
snmpdf okv_ip_address -A snmp_user_pwd -X snmp_user_pwd
出力は、次のようになります。
Description Size (kB) Used Available Used% / 20027260 7249732 12777528 36% /dev/shm 8174120 0 8174120 0% < –- not used by Oracle Key Vault /usr/local/dbfw 999320 251180 748140 25% < –- not used by Oracle Key Vault /usr/local/dbfw/tmp 6932408 15764 6916644 0% /var/tmp 5932616 15848 5916768 0% < –- not used by Oracle Key Vault /opt/dbfw 999320 1544 997776 0% < –- not used by Oracle Key Vault /home 999320 6416 992904 0% < –- not used by Oracle Key Vault /var/log 5932616 22992 5909624 0% /tmp 1999184 3072 1996112 0% /var/dbfw 2966224 4524 2961700 0% < –- not used by Oracle Key Vault /usr/local/dbfw/volatile 1048576 0 1048576 0% < –- not used by Oracle Key Vault /var/lib/oracle 143592160 45620964 97971196 31%
親トピック: SNMPを使用したリモート・モニタリング
電子メール通知を使用すると、管理コンソールにログインせずに、Key Vaultステータスの変化を管理者に直接送信できます。
電子メール通知を有効にするには、Key Vaultで電子メール設定を設定する必要があります。更新が必要なイベントを選択できます。イベントには、Key Vaultシステム・ステータス(ディスク使用率、バックアップおよび高可用性など)やユーザーおよびエンドポイントのステータス(ユーザー・パスワード、エンドポイント証明書およびキーの有効期限など)が含まれます。
電子メール通知を使用すると、Oracle Key Vaultのステータスの変化に関するアラートをユーザーに通知する以外に、管理者はエンドポイント・エンロールやユーザー・パスワードのリセットのプロセスを完了できます。
次に例を示します。
エンドポイント・エンロール中に生成されたエンロール・トークンをOracle Key Vaultからエンドポイント管理者に直接メールで送信できます。
Oracle Key Vaultシステム管理者は、ユーザー・パスワードのリセット時に、ランダムな一時パスワードをユーザーに直接送信できます。
電子メール通知を正常に有効化するには、Oracle Key VaultとSMTPサーバーとの間に直接接続が存在する必要があります。
電子メール通知はいつでも無効化できます。
親トピック: 電子メール通知
電子メール通知を有効化するには、ユーザーの電子メール・アカウントのSimple Mail Transfer Protocol (SMTP)サーバー・プロパティを構成します。Oracle Key Vaultは、SMTPサーバーに対する匿名かつセキュアでない接続をサポートしています。
デフォルトでは、Key VaultのJavaライブラリとともにパッケージ化されているデフォルトのJavaトラストストアを使用して、サーバー証明書が検証されます。オプションで、SMTP設定を構成すると同時にカスタム・トラストストアをアップロードして、特定の証明書または証明書チェーンが使用されるようにすることもできます。
SMTPサーバー構成はいつでも変更できます。最初はカスタムのSMTP証明書が使用され、後でユーザーがデフォルトを使用することを決定した場合は、トラストストア設定をカスタムからデフォルトに変更することのみが必要です。
電子メール設定を構成するには、次のステップに従います。
親トピック: 電子メール通知
構成を保存したら、SMTPユーザー・アカウントの電子メール構成をいつでもテストできます。既存のSMTP構成を変更する場合は、構成をテストするためにその構成を保存する必要があります。
電子メール構成をテストする手順:
関連項目:
親トピック: 電子メール通知
Oracle Key Vaultユーザーは、電子メール・アラートを受け取らないようにすることもできます。システム管理者ロールを持つユーザーまたは自分でアカウントを管理しているユーザーのみが、電子メール通知を無効化できます。
電子メール通知を無効化する手順:
親トピック: 電子メール通知
システム管理者は、「System」タブおよびメニューにアクセスできる唯一の管理ユーザーです。このユーザーは、システム設定を構成したり、他の管理ユーザーがいない場合にシステムをリカバリしたり、詳細な分析のためにシステム診断ファイルをダウンロードします。
親トピック: 一般的なOracle Key Vaultの管理
システム時間、syslog、DNS、ネットワーク・サービス、RESTfulサービスおよびOracle Audit Vault統合を構成できます。さらに、Oracle Key Vaultを再起動したり、電源をオフにすることもできます。
システムの「Settings」ページで、システム時間、syslog、DNS、ネットワーク・サービス、RESTfulサービスおよびOracle Audit Vault統合を構成できます。このページにアクセスするには、「System」をクリックし、左側のサイドバーで「System Settings」をクリックします。
システム設定を構成する手順:
「Settings」ページが表示されます。
システムの「Settings」ページは次のペインで構成されます。
System Time
NTPサーバーを使用して現在の時間との同期を維持するようにOracle Key Vaultを構成できます。NTPサーバーが使用できない場合は、手動で現在の時間を設定できます。カレンダ・アイコンを使用して日付と時間を設定し、これらの値が正しい形式で格納されるようにする必要があります。高可用性デプロイメントでは、プライマリ・サーバーとスタンバイ・サーバーを同じ時間に設定する必要があります。
Syslog
すべてシステム関連のアラートがsyslogに送信されます。これらには、ディスク使用率、システム・バックアップ、システム・バックアップの失敗、高可用性ロールの変更、高可用性の宛先に関する障害、およびSSHトンネルに関する障害が含まれます。
syslogファイルを転送するプロトコルを選択します。プロトコルは、信頼性の高い接続指向のプロトコルである「TCP」(Transmission Control Protocol)、またはコネクションレスのベスト・エフォート型プロトコルである「UDP」(User Datagram Protocol)のいずれかです。
syslogファイルの宛先コンピュータを設定するには、「Syslog Destinations」フィールドに表示された形式でIPアドレス(およびTCPのポート番号)を入力します。宛先コンピュータが複数ある場合は、それぞれの宛先コンピュータのIPアドレス(およびTCPのポート番号)をスペースで区切ります。
注意:
TCPの場合、IPアドレスとポート番号を指定します。UDPの場合、IPアドレスのみを指定します。Key Vaultアラートをsyslogに送信して、外部モニタリングを許可するように選択できます。
Network
このペインのフィールドには、Oracle Key VaultサーバーのIPアドレスおよびホスト名が自動的に移入されます。ただし、なんらかの変更がある場合は、Key Vaultインストール環境に応じて、「Host Name」、「IP Address」、「Network Mask」および「Gateway」を更新できます。「MAC Address」はネットワーク・インタフェースのハードウェアに設定されたアドレスであるため、変更できません。
高可用性を構成している場合、IPアドレスを変更する前に、プライマリおよびスタンバイOracle Audit Vaultサーバーのペアを解除する必要があります。プライマリまたはスタンバイOracle Audit Vault ServerのIPアドレスを変更した後、2つのサーバーを再度ペアに設定します。ペア作成プロセスを完了した後、Oracle Audit Vaultエージェントを再デプロイして、プライマリとスタンバイのOracle Audit Vaultサーバーの両方の新しいIPアドレスで更新されるようにします。
DNS
ホスト名をIPアドレスに変換するように、ドメイン名サービス(DNS)を構成できます。アクセス対象のサーバーのホスト名のみがわかり、IPアドレスはわからない場合に、このことが役立ちます。たとえば、電子メール通知のためにSMTPサーバーを構成しているとき、DNSを設定した後、オプションで、IPアドレスではなくホスト名を入力できます。
Network Services
次のいずれかのオプションを選択して、「Web Access」および「SSH Access」(セキュア・シェル・アクセス)のサービスをすべてのクライアントまたは一部のクライアント(IPアドレスで指定)に対して有効にすることや、完全に無効にすることができます。
All: すべてのIPアドレスが選択されます。
IP address(es): 隣のフィールドに一連のIPアドレスをスペースで区切って指定することで、それらが選択されます。
「Web Access」のオプションとして「IP address(es)」を使用すると、組織のニーズに応じて特定のユーザーを指定し、Oracle Key Vault管理コンソールへのアクセスを一連の限られたユーザーのみに制限できます。
「SSH Access」を有効化すると、コマンドラインからKey Vaultにアクセスできるようになります。このことは、管理コンソールからすぐには理解できない問題の診断に役立ちます。ユーザー'support'として、インストール時に作成したサポート・パスワードを使用してログインします。
Bashシェルを使用している場合は、SSHアクセスで機能するパッチ・セットまたはセキュリティ修正のダウンロードが必要になることがあります。パッチ・セットまたはセキュリティ修正のダウンロードと有効化の方法は、パッチ・セットのリリース・ノートを参照してください。
Best Practice: 診断やトラブルシューティングの目的でSSHアクセスを短期間だけ有効化し、作業が終了したらすぐに無効化します。
注意:
SSHアクセスを有効化または無効化すると、Oracle Key VaultサーバーへのインバウンドSSH接続が有効化または無効化されます。この方法でSSHアクセスを有効化または無効化しても、SSHトンネル設定またはOracle Key Vaultサーバー自体が確立した他のアウトバウンドSSH接続に影響はありません。SSHトンネル設定の場合のように、Oracle Key Vaultでは他のサーバーへのSSH接続も確立できます。
RESTful Services
最初に、「Network Services」の「Web Access」オプションが設定されていることを確認します。
次に、「Enable」の後にあるチェック・ボックスを選択して、RESTfulサービスを有効化します。RESTfulサービスを使用すると、エンドポイント・エンロールおよびプロビジョニングを自動化できます。
Oracle Audit Vault Integration
「Enable」の後ろにあるチェック・ボックスを選択して、Key VaultとAudit Vaultの間の監査レポート統合を有効化します。パスワードと確認用パスワードを入力するよう求められます。
親トピック: Oracle Key Vaultシステムの管理
緊急時に管理ユーザーがいない場合、または管理ユーザーのパスワードを変更する必要がある場合は、Key Vaultのインストール時に作成したリカバリ・パスフレーズを使用してシステムをリカバリできます。また、セキュリティのベスト・プラクティスに従ってリカバリ・パスフレーズを変更することもできます。
リカバリ・パスフレーズを変更する場合は、常に、システム管理者ロールを持っているユーザーが新しくバックアップを行って、最新のリカバリ・パスフレーズで保護されたバックアップが常に存在する状態にすることをお薦めします。これにより、最新のデータを含むバックアップが必ず1つ以上存在することになります。
リカバリ・パスフレーズを変更する手順:
親トピック: システム・リカバリ
インストール・パスフレーズは、インストール時に指定します。インストール・パスフレーズは、Oracle Key Vaultにログインして、インストール後タスクを完了するために使用します。
インストール・パスフレーズは8文字以上で、英大文字、英小文字、数字および特殊文字(ピリオド(.)、カンマ(,)、アンダースコア(_)、プラス記号(+)、コロン(:)、スペース)をそれぞれ1つ以上含める必要があります。
インストール・パスフレーズを忘れた場合は、新しいインストール・パスフレーズを指定できます。
インストール・パスフレーズは安全な方法で格納することが重要です。
インストール・パスフレーズを変更する手順:
「Oracle Key Vault Server <Release Number>」画面が表示されます。
図12-3 「Oracle Key Vault Server <Release Number>」画面
「New Passphrase」画面が表示されます。
「Installation Passphrase」画面が表示されます。
インストール・パスフレーズが変更されます。
親トピック: システム・リカバリ
「Status」ページでは、ディスク使用量、サーバー稼働時間、バージョン、高可用性およびバックアップに関するステータス情報を確認できます。さらに、診断ファイルをダウンロードし、それをOracle Supportに提供して詳細な分析やデバッグを依頼することができます。問題が発生した場合は、この機能を使用して、高度なデバッグおよびトラブルシューティングを実行できます。
Oracle Key Vault 12.2.0.6.0以降では、診断レポートは、デフォルトで有効になっていません。診断レポートを生成するには、ユーザーがこの機能を有効にする必要があります。有効にすると、診断レポートに取得されるようにする必要な情報をユーザーが構成できます。ユーザーは診断レポートを柔軟にカスタマイズしてパッケージ化できます。
Oracle Key Vaultをアップグレードする場合は、アップグレードする前に診断生成ユーティリティを削除する必要があります。
診断ファイルをダウンロードする手順:
「Status」ページには次の情報が表示されます。
Uptime
Free Space
Version
High Availability Status
Backup Status
Disk Usage
/usr/local/dbfw/etc/ディレクトリのdbfw-diagnostics-package.ymlファイルをカスタマイズして、複数のカテゴリのファイルの組合せを含めたり除外することができます。dbfw-diagnostics-package.ymlの各セクションには、値をtrueまたはfalseに設定することにより、特定のカテゴリの有効と無効を切り替えるためのオプションが含まれています。
診断生成ユーティリティをインストール、有効化および実行する方法の詳細は、ヘルプを参照してください。
/usr/local/dbfw/bin/priv/dbfw-diagnostics-package.rb --help
ディスク領域を解放するには、診断生成ユーティリティをインストールした後にdbfw-diagnostics-package.rbを削除します。また、Oracle Key Vaultをアップグレードする前に、診断生成ユーティリティを削除する必要もあります。
/usr/local/dbfw/bin/priv/dbfw-diagnostics-package.rb --remove
管理コンソールにログインすると、その「Home」タブにダッシュボードが表示されます。ダッシュボードは、Oracle Key Vaultの現在のステータスを高レベルで示すものであり、すべてのユーザーに公開されます。
ログイン時に最初に表示されるセクションは、「Alerts」および「Managed Content」です。
「Home」ページの「Data Interval」、「Operations」、「Endpoint Activity」および「User Activity」ペインが「Alerts」および「Managed Content」の後に続きます。
図12-8 「Data Interval」、「Operations」、「Endpoint Activity」および「User Activity」の各ペイン
親トピック: Oracle Key Vaultシステムの管理
ダッシュボードのステータス・ペインには、次のような有用な高レベルの情報が表示されます。
Alerts
特定のアラートに対して修正処理を実行する手順:
「Details」列で、アラートに対応するリンクをクリックします。適切なページが表示されます。
アラートに適した修正処理を実行します。
ダッシュボードに表示するアラートを構成する手順:
「Reports」タブをクリックし、左側のサイドバーで「Alerts」をクリックします。
「Alerts」ページが表示されます。
右上にある「Configure」をクリックするか、左側のサイドバーの「ALERTS」で「Configure Alerts」をクリックします。
「Configure Alerts」ページが表示されます。
「Alert Type」を選択し、「Save」をクリックします。
Managed Content
ダッシュボードの「Managed Content」ペインには、Oracle Key Vaultで現在格納および管理されているセキュリティ・オブジェクトに関する集計情報が表示されます。
このステータス・ペインでは、集計情報が、鍵、証明書、不透明オブジェクト、秘密鍵およびTDEマスター・キー、さらに項目の状態(プレアクティブ、アクティブ、非アクティブ化済)など、項目タイプに基づいて分類されます。
「Managed Content」ペインには、「Data Interval」ステータス・ペインに示されるリフレッシュ間隔によって設定された前回リフレッシュ時点での項目タイプと項目の状態が表示されます。
Data Interval
このペインには、期間の長さが表示されます。
この期間は、「Last 24 hours」、「Last week」、「Last Month」またはユーザー定義の日付範囲です。ここには、後で説明する「Operations」、「Endpoint Activity」および「User Activity」セクションのリフレッシュ間隔も表示されます。
Operations
「Operations」ペインには、キー関連の操作(たとえば、位置確認とアクティブ化、エンドポイントの追加、デフォルト・ウォレットの割当て)を棒で表した棒グラフが含まれます。
Endpoint Activity
「Endpoint Activity」ペインには、各エンドポイントで実行された操作の数を追跡する棒グラフが含まれます。
User Activity
「User Activity」ペインには、各ユーザーが実行した操作の数を追跡する3D棒グラフが含まれます。
関連項目:
項目タイプと項目の状態の詳細は、セキュリティ・オブジェクト項目の検索を参照してください。
親トピック: Oracle Key Vaultシステムの管理
Oracle Key Vaultダッシュボードに表示するアラートのタイプを選択できます。ダッシュボードは、管理コンソールにログインしたときに最初に表示されるページです。このページにナビゲートするには、「Home」タブをクリックします。セキュリティ・オブジェクトに関するアラートはそのオブジェクトへのアクセス権を持つすべてのユーザーに表示されますが、アラートを構成できるのはシステム管理者ロールを持っているユーザーのみです。
Oracle Key Vaultに備えられた様々なアラートには、要件に応じて適切なしきい値を構成できます。構成できるアラートは、次のとおりです。
ディスク使用率
エンドポイントの証明書の有効期限
失敗したシステム・バックアップ
高可用性Data Guard Brokerステータス
高可用性Data Guardファスト・スタート・フェイルオーバー・ステータス
高可用性の宛先に関する障害
高可用性(HA)制限モード
高可用性ロールの変更
キー・ローテーション
SSHトンネルの障害
システム・バックアップ
ユーザー・パスワード有効期限
無効なHSM構成
親トピック: Oracle Key Vaultアラートの構成
アラートを構成する手順:
「Configure Alerts」ページが表示されます。
親トピック: Oracle Key Vaultアラートの構成
システム管理者ロールを持つユーザーは、すべてのアラートを表示できます。システム管理者権限のないユーザーは、自分がアクセス権を持つオブジェクトに関するアラートのみを表示できます。
オープン・アラートを表示するには、次のステップに従います。
「Alerts」ページが表示され、未解決のすべてのアラートが一覧表示されます。アラート・メッセージで言及されている問題を解決すると、アラートが自動的に削除されます。これらを明示的に削除することはできません。
Oracle Key Vaultでは、システム・アラートはすべてsyslogに送信されます。次に、syslogのシステム・アラートの例を示します。
July 29 18:36:29 okv080027361e7e logger[13171]: No successful backup done for 4 day(s)
次の表に、アラートをトリガーする条件と、関連するシステム・アラート・メッセージを示します。
| 条件 | システム・アラート・メッセージ |
|---|---|
キー・ローテーション |
|
エンドポイントの証明書の有効期限 |
|
ユーザー・パスワード有効期限 |
|
ディスク使用率 |
|
システム・バックアップ |
|
失敗したシステム・バックアップ |
|
高可用性ロールの変更 |
|
高可用性の宛先に関する障害 |
|
SSHトンネルの障害 |
|
高可用性(HA)制限モード |
|
高可用性Data Guardファスト・スタート・フェイルオーバー・ステータス |
|
高可用性Data Guard Brokerステータス |
|
OKV Server Certificate Expiration |
The Oracle Key Vault Server certificate is expiring within 30 days. Please refer to the Oracle Key Vault Administrator's Guide. |
無効なHSM構成 |
|
親トピック: Oracle Key Vaultアラートの構成
Oracle Key Vaultでは、あらゆるエンドポイント・アクティビティおよびユーザー・アクティビティとそのタイムスタンプが記録され、アクションを開始したユーザー、実行されたアクション、使用されたキーやトークンおよびアクションの結果が詳細に示されます。
親トピック: 一般的なOracle Key Vaultの管理
Oracle Key Vaultでは、エンドポイント・エンロールやユーザー・パスワードのリセットから、キーやウォレットの管理、システム設定やSNMP資格証明の変更に至る、すべてのエンドポイント・アクティビティおよびユーザー・アクティビティが、エンドポイント・グループおよびユーザー・グループを含めて記録されます。また、各アクションが成功したか失敗したかも記録されます。
このような包括的なシステム・アクティビティの記録は監査証跡として提供され、すべてのユーザーに公開されますが、これらの管理は監査マネージャ・ロールを持つユーザーにのみ許可されます。指定した日付までの監査レコードをエクスポートまたは削除する権限は、このユーザーのみが持ちます。
監査はバックグラウンドで行われ、Key Vaultでは常に有効化されています。これを無効にすることはできません。
監査マネージャ・ロールを持っているユーザーは、すべての監査レコードを参照および管理できます。その他のユーザーは、自分が作成したか、アクセス権が付与されているセキュリティ・オブジェクトに関連する監査レコードのみを参照できます。
監査レコードをエクスポートして、システム・アクティビティをオフラインで確認できます。エクスポートしたレコードは、リソースを解放するために、システムから削除できます。
関連項目:
監査マネージャ権限の詳細は、管理ロールの概要を参照してください。
親トピック: Oracle Key Vaultの監査
監査レコードを格納するようにOracle Key Vaultシステム・ログを構成できます(システム管理者がこの機能を有効にしている場合)。
監査レコードを格納するようにOracle Key Vaultシステム・ログを構成するには:
Syslogが構成されていない場合、「Syslog forwarding to remote machines not enabled.」というエラー・メッセージが表示されます。
Syslogの構成の詳細は、「システム設定の構成」を参照してください。
親トピック: Oracle Key Vaultの監査
「Reports」ページには、デフォルトで「Audit Trail」が表示されます。「Audit Trail」ページには、すべてのシステム・アクティビティがリストされ、だれ(「Subject Name」)が、どのような操作(「Operation」)を、いつ(「Time」)、何(「Object」)を使用して実行し、そのアクションの結果(Result)がどうなったかが詳細に示されます。
監査証跡を表示するには、次のステップに従います。
親トピック: Oracle Key Vaultの監査
監査マネージャ・ロールを持っているユーザーは、必要に応じて監査証跡をエクスポートまたは削除できます。監査レコードは、ユーザーのローカル・システムにダウンロード可能な.csvファイル形式でエクスポートされます。.csvファイルの内容は、「Reports」ページの「Audit Trail」に表示される詳細と同じです。
.csvファイルのタイムスタンプには、レコードがエクスポートされた特定のKey Vaultサーバーのタイムゾーンが反映されることに注意してください。
監査証跡をエクスポートまたは削除する手順:
「Export/Delete Audit Records」ページが表示されます。
親トピック: Oracle Key Vaultの監査
監査統合のために、Audit Vault and Database Firewall (AVDF)にOracle Key Vault監査データを転送できます。
AVDFとの監査統合を有効化する手順:
関連項目:
Key Vaultのシステム設定は、図12-2
親トピック: Oracle Key Vaultの監査
Oracle Key Vaultでは、システム・アクティビティ、証明書/キー/パスワードの有効期限、資格ステータスおよびメタデータに関する統計情報が4つのレポート・カテゴリ(エンドポイント、ユーザー、キーおよびシステム)で収集されます。
Oracle Key Vaultには、エンドポイント、ユーザー、キーおよびウォレット、システムに関する4つのタイプのレポートが用意されています。
次に、4つのレポート・タイプとそれぞれの説明を示します。
エンドポイント・レポートには、すべてのエンドポイント・アクティビティとエンドポイント・グループ・アクティビティ、証明書とパスワードの有効期限、およびアクセス権限の詳細が含まれています。
ユーザー・レポートには、すべてのユーザー・アクティビティとユーザー・グループ・アクティビティ、証明書とパスワードの有効期限、およびアクセス権限の詳細が含まれています。
鍵およびウォレットのレポートには、すべての鍵およびウォレットに付与されているアクセス権限、およびKey Vaultで管理されているTDEマスター・キーの詳細がリストされます。
システム・レポートには、実行されたシステム・バックアップとスケジュールされているシステム・バックアップの履歴、リモート・リストア・ポイントの詳細、およびRESTful APIの使用状況が含まれています。
監査マネージャはすべてのレポートを表示できます。キー管理者はユーザー・レポートとキーおよびウォレットのレポートを表示できます。システム管理者権限を持つユーザーは、エンドポイント・レポート、ユーザー・レポート、システム・レポートを表示できます。
関連項目:
監査レポートの詳細は、Oracle Key Vault監査を参照してください。
親トピック: Oracle Key Vaultのレポート
「Reports」ページでは、左側のサイドバーの「REPORTS」という見出しの下に4つのレポート・タイプがリストされます。
エンドポイント、ユーザー、キーおよびウォレット、システムに関するレポートを表示する手順:
関連項目:
図12-14に、Key Vaultの監査証跡を示します。
親トピック: Oracle Key Vaultのレポート
Key Vaultには、「Endpoint Activity」、「Endpoint Certificate Expiry」、「Endpoint Entitlement」および「Endpoint Metadata」という4つのエンドポイント・レポートが用意されています。
エンドポイント・レポートを表示する手順:
「Endpoint Reports」ページが表示され、4つのタイプのエンドポイント・レポートが示されます。
「Name」の下のリンクをクリックして、目的のレポートを表示します。
Key Vaultには、「User Activity」、「User Entitlement」、「User Expiry」および「User Failed Login」という4つのユーザー・レポートが用意されています。
ユーザー・レポートを表示する手順:
「User Reports」ページが表示され、4つのタイプのユーザー・レポートが示されます。
レポート名をクリックして、対応するユーザー・レポートを表示します。
Key Vaultには、「Entitlement」および「TDE Key Metadata」という2つのキー/ウォレット・レポートが用意されています。
キーおよびウォレットのレポートを表示する手順:
Key Vaultサーバー・ソフトウェア・アプライアンスをアップグレードするときには、エンドポイント・ソフトウェアもアップグレードして、最新の拡張を取得することをお薦めします。ただし、直前のバージョンのエンドポイント・ソフトウェアは、引き続き、アップグレードされたOracle Key Vaultサーバーとともに機能します。
親トピック: 一般的なOracle Key Vaultの管理
アップグレードのステップは、次に示す順序に従う必要があります。最初にKey Vaultのフル・バックアップを実行し、Key Vaultサーバー、または高可用性デプロイメントの場合はサーバー・ペアをアップグレードし、エンドポイント・ソフトウェアをアップグレードし、最後に、アップグレード済のサーバーに対して再度フル・バックアップを実行します。アップグレードする場合は、Oracle Key Vaultアプライアンスの再起動が必要となることに注意してください。
アップグレード中の限られた時間、エンドポイントではOracle Key Vaultサーバーを使用できません。永続キャッシュ機能を有効にすると、アップグレード・プロセス中にエンドポイントで操作を継続できます。
Key Vaultサーバーをアップグレードする前に、アップグレード対象のサーバーをバックアップすることをお薦めします。このステップにより、アップグレードが予期せず失敗したときに確実にリカバリできるようにします。
注意:
このステップはスキップしないでください。アップグレードの実行前にサーバーをバックアップして、データを安全かつリカバリ可能な状態にします。
Oracle Key Vault 12.2.0.0.0に円滑にアップグレードできるように、次のステップをお薦めします。
アップグレードのための最小のディスク領域要件が満たされていることを確認します。
フル・バックアップや増分バックアップのジョブが実行されていないことを確認してください。アップグレードの前に、スケジュールされたフル・バックアップまたは増分バックアップのジョブをすべて削除してください。
次の仕様に従い、停止時間を計画します。
| Oracle Key Vaultの使用 | 停止時間の必要性 |
|---|---|
ウォレットのアップロードまたはダウンロード |
いいえ |
Javaキーストアのアップロードまたはダウンロード |
いいえ |
Transparent Data Encryption (TDE)直接接続 |
はい |
高可用性デプロイメントにおけるプライマリ・サーバーのアップグレード |
はい |
Oracle Key Vaultでオンライン・マスター・キー(旧称はTDE直接接続)を使用する場合は、Oracle Databaseエンドポイント・ソフトウェアのアップグレード中に、15分の停止時間を計画してください。合計停止時間を短縮するため、データベース・エンドポイントは同時にアップグレードできます。
高可用性デプロイメントにおけるプライマリ・サーバーのアップグレードについては、1時間の停止時間を計画してください。
Oracle Key Vaultサーバーのアップグレード方法は、スタンドアロン環境を使用しているか高可用性デプロイメントを使用しているかによって異なります。
Oracle Key Vaultは、テスト環境や開発環境でスタンドアロン・アプライアンスとしてデプロイしたり、本番環境において高可用性構成でデプロイすることができます。スタンドアロン・デプロイメントでは単一のKey Vaultサーバーをアップグレードする必要がありますが、高可用性デプロイメントではプライマリとスタンバイの両方のKey Vaultサーバーをアップグレードする必要があります。永続キャッシュを有効にすると、アップグレード・プロセス中にエンドポイントで操作を継続できます。
注意:
アップグレードするシステムに8GBのメモリーがあることを確認してください。リリース12.2.0.2.0以降の場合は、8GBのメモリーが必要です。高可用性デプロイメントでは、プライマリ・サーバーとスタンバイ・サーバーの両方に8GBのシステム・メモリーが必要です。
メモリーが4GBのシステムからアップグレードする場合は、まずアップグレード前に4GBのメモリーをシステムに追加してください。
この手順は、テスト環境や開発環境で最も一般的なデプロイメントであるスタンドアロン・デプロイメントで、単一のKey Vaultサーバーをアップグレードする場合のものです。
Oracle Key Vault 12.2.0.0.0をアップグレードする手順:
注意:
スタンバイにアップグレードした後、プライマリ・サーバーへのアップグレードに1時間を割り当ててください。スタンバイ・サーバーとプライマリ・サーバーは1つのセッションでアップグレードし、スタンバイのアップグレードとプライマリのアップグレードの間に時間を空けないようにする必要があります。アップグレード時間は概算であり、Oracle Key Vaultで格納および管理されているデータのボリュームに応じて変化することに注意してください。データのボリュームが大きいと、アップグレード時間が1時間を超える場合があります。
アップグレードが進行している間に、設定を変更したり、次に示すアップグレード手順の一部ではない他の操作を実行しないでください。
アップグレード・プロセスでは、アップグレード中にエンドポイントを停止することが必要になるため、計画されたメンテナンス・ウィンドウの間にOracle Key Vaultサーバーをアップグレードしてください。
プライマリとスタンバイの両方のシステムに8GBのメモリーがあることを確認してください。
永続キャッシュを有効にすると、アップグレード・プロセス中にエンドポイントで操作を継続できます。
高可用性のために構成されたOracle Key Vaultサーバーのペアをアップグレードする手順:
エンドポイント・ソフトウェアをアップグレードする手順:
ステップ1の説明に従ってKey Vaultサーバーをアップグレードしたことを確認します。直接接続用に構成された、Oracle Databaseのためのエンドポイント・ソフトウェアをアップグレードする場合は、データベースを停止します。
次のように、Oracle Key Vaultサーバーから、プラットフォームに適したエンドポイント・ソフトウェア(okvclient.jar)をダウンロードします。
Oracle Key Vault管理コンソールのログイン画面に移動します。
「Endpoint Enrollment and Software Download」リンクをクリックします。
「Download Endpoint Software」セクションに移動し、ドロップ・ダウン・リストから適切なプラットフォームを選択します。
「Download」ボタンをクリックします。
アップグレード対象となる、既存のエンドポイントのインストールへのパスを指定します。たとえば、/home/oracle/okvutilとします。
次のコマンドを実行して、エンドポイント・ソフトウェアをインストールします。
java -jar okvclient.jar -d <path to the existing endpoint directory>
たとえば、java -jar okvclient.jar -d /home/oracle/okvutilとします。
UNIXプラットフォームでは、エンドポイントのインストール・ディレクトリのbinディレクトリから、root.shを実行して、Oracle Databaseエンドポイントの最新のliborapkcs.soファイルをコピーします。Windowsプラットフォームでは、エンドポイントのインストール・ディレクトリのbinディレクトリから、root.batを実行して、Oracle Databaseエンドポイントの最新のliborapkcs.dllファイルをコピーします。このステップは、Oracle Key VaultによるオンラインTDEマスター・キーの管理のためにのみ必要です。次に例を示します。
$ sudo ./$OKV_HOME/bin/root.sh
bin\root.bat
または
$ su - # bin/root.sh
Windowsプラットフォームでroot.batを実行すると、使用中のRDBMSのバージョンを要求されます。
ステップ1でエンドポイントを停止した場合は、再起動します。
アップグレードが正常に完了した後、次のタスクを実行する必要があります。
アップグレード済のOracle Key Vaultサーバー・データベースのフル・バックアップを新しいリモート宛先に取得します。新しいバックアップのために、古いバックアップ先を使用することは避けます。
前述のステップで定義した新しい宛先への定期的な増分バックアップを新たにスケジュールします。
バージョン12.1.0.2以降、パスワード・ハッシュがよりセキュアな標準にアップグレードされました。この変更により、オペレーティング・システムのパスワード、サポートおよびルートに影響があります。アップグレードした後、Oracle Key Vaultの管理パスワードを変更していない場合は、よりセキュアなハッシュを活用するために、変更する必要があります。
パスワード・ハッシュは、Oracle Key Vault 12.1.0.0.0からOracle Key Vault 12.2.0.0.0に直接アップグレードする場合と、Oracle Key Vault 12.1.0.1.0からOracle Key Vault 12.2.0.0.0に直接アップグレードする場合にのみ適用されます。この修正は、Oracle Key Vault 12.1.0.2.0以降に含められました。
