11 リカバリ・アプライアンスの保護

この章では、リカバリ・アプライアンスをセキュアに保つためのポリシーおよび手順について説明します。

ハードウェアの保護

Oracle Exadata Database Machineのインストール後、ハードウェアを保護する必要があります。

ハードウェアは、ハードウェアへのアクセスを制限し、シリアル番号を記録することによって保護できます。アクセスを制限する措置として、次のことをお薦めします。

• Oracle Exadata Database Machineと関連装置は、アクセスが制限された鍵の掛かった部屋に設置します。

• ラック内のコンポーネントでサービスが必要でない場合は、ラックのドアに鍵を掛けます。

• コンポーネントは設計によって容易に削除できるため、ホットプラガブル対応またはホットスワップ対応デバイスへのアクセスを制限します。参照

• 予備の現場交換可能ユニット(FRU)または顧客交換可能ユニット(CRU)は鍵の掛かったキャビネットに保管します。鍵の掛かったキャビネットへは、認可された人のみがアクセスできるように制限します。

• すべての主要なコンピュータ・ハードウェア項目(FRUなど)にマークを付けます。

• ハードウェアのアクティベーション・キーとライセンスは、システム緊急時にシステム・マネージャが簡単に取り出せる安全な場所に保管します。

• Oracle Exadata Database Machineのコンポーネントのシリアル番号を記録し、安全な場所に保管します。Oracle Exadata Database Machineのすべてのコンポーネントにシリアル番号があります。

ラックのシリアル番号の取得

ラックのシリアル番号を取得するには、ipmitoolユーティリティを使用します。

Oracleサポート・サービスとやり取りする場合、ラックのCSI番号はラックのシリアル番号に基づきます。

1. rootユーザーとしてラック内のいずれかのサーバーにログインします。
2. ipmitoolを使用して、ラックのシリアル番号を取得します。

   # ipmitool sunoem cli "show /SP system_identifier"
   Connected. Use ^D to exit.
   -> show /SP system_identifier
   
    /SP
       Properties:
           system_identifier = Exadata Database Machine X2-8xxxxAKyyyy
   
   
   -> Session closed
   Disconnected

ラック・コンポーネントのシリアル番号の取得

CheckHWnFWProfileコマンドを使用すると、ほとんどのシステム・コンポーネントのシリアル番号を表示できます。

1. rootユーザーとしてラック内のいずれかのサーバーにログインします。
2. ラック内の各サーバーで、-Sオプションを指定したCheckHWnFWProfileを使用し、そのサーバーのコンポーネントのシリアル番号を表示します。

   # /opt/oracle.SupportTools/CheckHWnFWProfile -S > /tmp/CheckHWnFWProfile_hostname.txt

   結果は各サーバーに固有であるため、このコマンドをすべてのノードで実行する必要があります。出力の部分的な例を次に示します。

   Server_Model=ORACLE_SERVER_X8-2L
   ====START SERIAL NUMBERS====
   ==Motherboard, from dmidecode==
   --System serial--
   1904XCA000
   --Motherboard serial--
   469996N+0000RD01RN
   --Chassis serial--
   1900XCA000
   --Rack serial--
   AK00400000
   ==Infiniband HCA==
   ID:      CX354A - ConnectX-3 QSFP
   PN:      7046442
   EC:      XX
   SN:      465000K-1800000000
   V0:      PCIe Gen3 x8
   ==Motherboard, RAM etc from ipmitool==
   FRU Device Description : Builtin FRU Device (LUN 0 ID 0)
   ...
    Product Name          : ILOM
    Product Version       : 4.0.4.38.a
   
   FRU Device Description : BMC
   ...
    Product Name          : ILOM
     Product Version       : 4.0.4.38.a
   
   FRU Device Description : /SYS (LUN 0 ID 3)
   ...
    Product Part Number   : 8200669
    Product Serial        : 1900XCA000
   
   FRU Device Description : DBP (LUN 0 ID 210)
    
    Board Part Number     : 7341141
    Board Extra           : Rev 09
   
   FRU Device Description : HDD0 (LUN 0 ID 47)
    Device not present (Requested sensor, data, or record not found)
   
   FRU Device Description : HDD1 (LUN 0 ID 48)
    Device not present (Requested sensor, data, or record not found)
   
   ...
   
   FRU Device Description : MB (LUN 0 ID 4)
    Board Mfg Date        : Sun Jan 20 16:57:00 2019
    Board Mfg             : Oracle Corporation
   ...
   
   FRU Device Description : MB/BIOS (LUN 0 ID 5)
   ...
   
   FRU Device Description : MB/CPLD (LUN 0 ID 8)
    Product Manufacturer  : Oracle Corporation
    Product Name          : Power Control FPGA
    Product Version       : FW:3.9
   
   FRU Device Description : M2R0/SSD0 (LUN 0 ID 211)
    Device not present (Requested sensor, data, or record not found)
   
   FRU Device Description : M2R1/SSD0 (LUN 0 ID 212)
    Device not present (Requested sensor, data, or record not found)
   
   FRU Device Description : MB/NET0 (LUN 0 ID 43)
    Product Manufacturer  : INTEL
    Product Name          : 1G Ethernet Controller
   ...
   
   FRU Device Description : MB/P0 (LUN 0 ID 16)
    Product Manufacturer  : Intel
    Product Name          : Intel(R) Xeon(R) Gold 5218 CPU @ 2.30GHz
   ...
   
   FRU Device Description : MB/P0/D0 (LUN 0 ID 24)
    Product Manufacturer  : Samsung
    Product Name          : 16384MB DDR4 SDRAM DIMM
   ...
   
   FRU Device Description : MB/P0/D1 (LUN 0 ID 25)
    Device not present (Requested sensor, data, or record not found)
   
   FRU Device Description : MB/P0/D2 (LUN 0 ID 26)
    Product Manufacturer  : Samsung
    Product Name          : 16384MB DDR4 SDRAM DIMM
   ...
   
   
   FRU Device Description : MB/P1 (LUN 0 ID 17)
    Product Manufacturer  : Intel
    Product Name          : Intel(R) Xeon(R) Gold 5218 CPU @ 2.30GHz
   ...
   
   FRU Device Description : MB/P1/D0 (LUN 0 ID 36)
    Product Manufacturer  : Samsung
    Product Name          : 16384MB DDR4 SDRAM DIMM
   ...
   FRU Device Description : PS0 (LUN 0 ID 63)
   ...
   FRU Device Description : PS1 (LUN 0 ID 64)
   ...
   FRU Device Description : SP/NET0 (LUN 0 ID 1)
   ...
   FRU Device Description : SP/NET1 (LUN 0 ID 2)
   ...
   FRU Device Description : /UUID (LUN 0 ID 6)
   ...
   FRU Device Description : TOP_LEVEL_CH (LUN 0 ID 251)
    Chassis Type          : Rack Mount Chassis
    Chassis Part Number   : 8200669
    Chassis Serial        : 1900XCA0000
    Chassis Extra         : chassis_name:ORACLE SERVER X8-2L
   
   FRU Device Description : TOP_LEVEL_PROD (LUN 0 ID 250)
    Product Manufacturer  : Oracle Corporation
    Product Name          : Exadata X8-2
    Product Part Number   : Exadata X8-2
    Product Serial        : AK00430000
   
   ====END SERIAL NUMBERS====
   

Cisco 9336Cまたは9348スイッチのラックのシリアル番号の取得

シリアル番号を取得するには、スイッチでshow license host-idコマンドを使用します。

1. SSH等価が構成されたサーバーからスイッチに接続するか、adminユーザーとしてログインします。
2. show license host-idコマンドを入力して、スイッチのシリアル番号を取得します。

   ホストIDはデバイス・シリアル番号とも呼ばれます。

   # switch# show license host-id
   License hostid: VDH=FLA12345678

   等号(=)の後に表示されるID全体を使用します。この例では、ホストIDはFLA12345678です。

Sun Datacenter InfiniBand Switch 36のラックのシリアル番号の取得

シリアル番号を取得するには、スイッチでshowfruinfoコマンドを使用します。

1. rootとしてスイッチにログインします。

   $ ssh root@switch_name

2. showfruinfoコマンドを使用して、スイッチのシリアル番号を表示します。

   root@ib-switch-> showfruinfo 
   Sun_Man1R:
   UNIX_Timestamp32 : Fri Mar 19 16:29:59 2010
   Sun_Fru_Description : ASSY,NM2-GW
   Vendor_ID_Code : 11 E1
   Vendor_ID_Code_Source : 01
   Vendor_Name_And_Site_Location : 4577 CELESTICA CORP. SAN JOSE CA US
   Sun_Part_Number : 5111402
   Sun_Serial_Number : 0110SJC-1010NG0040
   Serial_Number_Format : 4V3F1-2Y2W2X4S
   Initial_HW_Dash_Level : 03
   Initial_HW_Rev_Level : 50
   Sun_Fru_Shortname : NM2 gateway
   Sun_Hazard_Class_Code : Y
   Sun_SpecPartNo : 885-1655-01 
   Sun_FRU_LabelR:
   Sun_Serial_Number : AK000XXXX2
   FRU_Part_Dash_Number : 541-4188-01

Cisco 4948イーサネット・スイッチのシリアル番号の取得

シリアル番号を取得するには、スイッチでsh inventoryコマンドを使用します。

1. Ciscoイーサネット・スイッチにログインします。
2. sh inventoryコマンドを入力して、スイッチおよびそのコンポーネントのシリアル番号を取得します。

   # Switch# sh inventory
   NAME: "Switch System", DESCR: "Cisco Systems, Inc. WS-C4948 1 slot switch "
   PID:                   , VID:      , SN: FOX0000G0B6
   NAME:  "Linecard(slot 1)", DESCR: "10/100/1000BaseT (RJ45), 1000BaseX (SFP) 
    Supervisor with 48 10/100/1000BASE-T ports and 4 1000BASE-"
   PID: WS-C4948          , VID: V09  , SN: FOX0000G0B6
   NAME: "Power Supply 1", DESCR: "Power Supply ( AC 300W )"
   PID: PWR-C49-300AC     , VID:      , SN: QCS0000B1XR
   NAME: "Power Supply 2", DESCR: "Power Supply ( AC 300W )"
   PID: PWR-C49-300AC     , VID:      , SN: QCS0000B1X5

ソフトウェアの保護

多くの場合、ハードウェアのセキュリティは、ソフトウェアを通じて実装されます。

ソフトウェアとハードウェアを保護するには、次のガイドラインを実施します。

• サイトでシステムをインストールしたときに、すべてのデフォルトのパスワードを変更してください。リカバリ・アプライアンスは、初期インストールとデプロイメントに、よく知られたデフォルトのパスワードを使用します。デフォルトのパスワードでは、装置に不正にアクセスできる可能性があります。ネットワーク・スイッチなどのデバイスには、複数のユーザー・アカウントが設定されています。必ずラック内のコンポーネントのすべてのアカウント・パスワードを変更します。

• rootスーパーユーザー・アカウントの使用を制限します。可能な場合は、non-rootアクセスを使用します。Integrated Lights Out Manager (ILOM)ユーザー・アカウントを各ユーザーに作成および使用して、監査証跡での積極的な識別を可能にし、管理者がチームまたは会社を離れた場合のメンテナンスを軽減します。

• USBポート、ネットワーク・ポートおよびシステム・コンソールへの物理的なアクセスを制限します。サーバーおよびネットワーク・スイッチには、システムに直接アクセスできるポートおよびコンソール接続があります。

• ネットワークを介してシステムを再起動する機能を制限します。

セキュアな環境の維持

セキュリティ措置を実装した後、それらを維持してシステムをセキュアに保つ必要があります。

ソフトウェア、ハードウェアおよびユーザー・アクセスを定期的に更新およびレビューする必要があります。たとえば、組織はリカバリ・アプライアンスにアクセスできるユーザーおよび管理者を確認し、アクセスおよび権限のレベルが適切であるかどうかを確認する必要があります。レビューしない場合、ロールの変更やデフォルト設定の変更によって、個人に付与されたアクセス・レベルが意図せず高くなることがあります。操作および管理タスクのアクセス権をレビューして、各ユーザーのアクセス・レベルがロールおよび職責に合わせて調整されていることを確認してください。

リカバリ・アプライアンス環境のユーザー・アカウントに関する項を参照してください。

組織で未認可の変更や構成のずれを検出するツールを活用し、セキュリティ・アップデートの準備を整えることをお薦めします。Oracle Enterprise Managerは、ハードウェア、デプロイされたアプリケーションおよびサービスの操作の問題に対処する統合されたソリューションを提供します。

ネットワーク・セキュリティのメンテナンス

セキュリティ・ガイドラインに基づいてネットワークを構成した後は、定期的なレビューおよびメンテナンスが必要です。

管理ネットワーク・スイッチの構成ファイルはオフラインで管理し、構成ファイルへのアクセスは認可された管理者のみに制限する必要があります。構成ファイルには各設定の説明がコメントとして含まれています。構成ファイルの静的コピーをソース・コード制御システムに保持することを検討してください。セキュアなホスト設定およびIntegrated Lights Out Manager (ILOM)設定を変更せず、有効なままにしておくには、クライアント・アクセス・ネットワークの定期的なレビューが必要です。さらに、設定の定期的なレビューによって、それらが変更されておらず、有効であることが確認されます。

システムへのローカル・アクセスとリモート・アクセスのセキュリティを確保するために、次のガイドラインに従ってください。

• 拡張セッションのタイムアウトを設定し、特権レベルを設定します。

• スイッチへのローカル・アクセスとリモート・アクセスには、認証、認可、アカウンティング(AAA)機能を使用します。

• 侵入検知システム(IDS)のアクセスには、スイッチのポートのミラー化機能を使用します。

• MACアドレスに基づいてアクセスを制限するには、ポート・セキュリティを実装します。

• 最小限のパスワードの複雑度ルールとパスワードの有効期限ポリシーを設定することによって、ユーザーに強力なパスワードを使用することを要求します。

• ロギングを有効にし、専用のセキュアなログ・ホストにログを送信します。

• NTPおよびタイムスタンプを使用して正確な時間情報を含めるようにロギングを構成します。

• 可能性があるインシデントをログで確認し、組織のセキュリティ・ポリシーに従ってそれらをアーカイブします。

標準のFIPS 140 (連邦情報処理標準)はセキュリティと暗号化に関連しています。FIPS 140は、米国商務省の米国標準技術局(National Institute of Standards and Technology: NIST)によって発行されている一連の標準です。FIPS 140は遷移中のデータおよび保存データを保護します。コンピューティング環境内における暗号化コンポーネントのセキュリティ標準を規定します。FIPS 140は、コンピューティング環境が公開されたセキュリティ・レベルに準拠していることを文書化する必要のある組織にとって役立ちます。多数の政府機関や金融機関でFIPS 140認定システムが使用されています。

Oracle DatabaseレベルでFIPS 140を構成すると、Secure Sockets Layer (SSL)、透過的データ暗号化(TDE)、DBMS_CRYPTO PL/SQLパッケージおよびExadata Smart ScanでFIPS 140暗号モジュールを使用できるようになります。これにより、Smart Scanのオフロード操作の処理中にデータが保護されます。