この章では、セキュアなインストールの計画プロセスについて説明し、システムの推奨される配備トポロジをいくつか紹介します。
セキュリティーニーズをよりよく理解するには、次の問題を考慮する必要があります。
本番環境における多くのリソースを保護できます。提供するセキュリティーのレベルを決定する際は、保護対象のリソースの種類を考慮してください。
DIVArchive を使用している場合は、次のリソースを保護します。
DIVArchive システムの構築に使用されるデータディスクおよびキャッシュディスクのリソースがあります。それらは通常、DIVArchive システムに接続されているローカルまたはリモートディスクです。こうしたディスクに (DIVArchive を使わずに) 単独でアクセスすると、セキュリティー上のリスクが生じます。この種の外部アクセスは、こうしたディスクに対して読み取りや書き込みを行う悪質なシステムか、またはこうしたディスクデバイスへのアクセスを誤って提供する内部システムから発生している可能性があります。
複雑なオブジェクトを含む DIVArchive システムの構築に使用されるデータベースディスク、メタデータディスク、およびバックアップディスクのリソースがあります。それらは通常、DIVArchive システムに接続されているローカルまたはリモートディスクです。こうしたディスクに (DIVArchive を使わずに) 単独でアクセスすると、セキュリティー上のリスクが生じます。この種の外部アクセスは、こうしたディスクに対して読み取りや書き込みを行う悪質なシステムか、またはこうしたディスクデバイスへのアクセスを誤って提供する内部システムから発生している可能性があります。
通常は DIVArchive システムによって制御されるテープライブラリ内にある、データが書き込まれるテープに単独でアクセスを許すことは、セキュリティー上のリスクになります。
このセクションでは、インフラストラクチャーコンポーネントをセキュアにインストールして構成する方法について説明します。DIVArchive のインストールについては、次にある DIVArchive 7.4 のカスタマドキュメントライブラリを参照してください。
https://docs.oracle.com/en/storage/#csm
DIVArchive をインストールして構成する際は、次の点を考慮してください。
DIVArchive サービスのコンポーネント間の相互接続、Metadata Database への接続、およびそのクライアントからの接続では、どの WAN にも接続されていない個別の TCP/IP ネットワークおよびスイッチハードウェアを用意します。メタデータトラフィックは TCP/IP を使用して実装されるため、このトラフィックに対する外部の攻撃が理論的には可能です。個別のメタデータネットワークを構成すると、このリスクが軽減されるだけでなく、パフォーマンスも向上します。個別のネットワークを実現できない場合は、少なくとも、外部の WAN や、ネットワーク上の信頼できないホストから DIVArchive ポートへのトラフィックを拒否してください。クリティカルなサービスへのネットワークアクセスを制限するを参照してください。
FC ゾーニングを使用して、ファイバチャネルを介して接続された DIVArchive ディスクへのアクセスのうち、ディスクへのアクセスを必要としないサーバーからのものは拒否してください。できれば、個別の FC スイッチを使用して、アクセスを必要とするサーバーにのみ物理的に接続してください。
SAN RAID ディスクには通常、管理のために TCP/IP (より一般的には HTTP) 経由でアクセスできます。SAN RAID ディスクへの管理アクセスを信頼できるドメイン内のシステムのみに制限することによって、ディスクを外部アクセスから保護する必要があります。また、ディスクアレイ上のデフォルトのパスワードも変更します。
最初に、必要な DIVArchive サービスのみをインストールします。たとえば、GUI または構成ユーティリティーをシステムから実行する予定がない場合は、インストール時にインストール対象のコンポーネントのリストでそれらのチェックマークを外します。デフォルトの DIVArchive インストールディレクトリのアクセス権と所有者は、Administrator (または Root) アカウントまたは DIVA オペレーティングシステムユーザー (またはグループ) にのみ制限する必要があります。