1. 管理者ガイド
  2. Oracle Audit Vault and Database Firewallの開始
  3. Oracle AVDFにおける高可用性

9 Oracle AVDFにおける高可用性

Oracle AVDFは、Audit Vault ServerおよびDatabase Firewallの高可用性をサポートしています。

9.1 Oracle AVDFにおける高可用性について

Oracle AVDFにおける高可用性について学習します。

Oracle AVDFにおける高可用性は、監査データ収集、ネットワーク・イベント・データ収集、分析、レポートなどのデータベース・アクティビティ監視サービスの継続性を確保することで、信頼性を高めます。高可用性には、Audit Vault ServerインスタンスのペアまたはDatabase Firewallインスタンスのペアが必要です。1つのインスタンスがプライマリとして動作し、別のインスタンスがスタンバイとして動作します。

9.2 Audit Vault Serverの高可用性の構成

Audit Vault Serverの高可用性の構成、モニターまたは更新について学習します。

9.2.1 Audit Vault Serverにおける高可用性について

Audit Vault Serverにおける高可用性には、ビジネス継続性のためにペアになっている2つのAudit Vault Serverインスタンスが含まれます。

この構成では、1つのAudit Vault Serverインスタンスをプライマリとして指定し、もう1つをスタンバイとして指定します。プライマリAudit Vault Serverは、Audit Vault Serverの機能を提供するアクティブ・サーバーです。スタンバイは自動的に同期され(監査データおよびネットワーク・イベント・データ)、これにはプライマリの一貫性のあるコピーがあります。

10分間の計画外停止が原因でプライマリAudit Vault Serverが使用できなくなった場合、構成はスタンバイ・サーバーに自動的にフェイルオーバーします。前のスタンバイが新しいプライマリになります。

高可用性では、ターゲット登録、Audit Vault Agentマシン登録、Database Firewall構成に関する構成データがスタンバイと自動的に同期されます。

Audit Vault Serverにおける高可用性は、Oracle Data Guardを使用して内部で管理されます。Audit Vault Serverのペアを最大保護モードでデプロイします。これにより、プライマリAudit Vault Serverインスタンスのパフォーマンスに影響を与えることなく、最高レベルのデータ保護が確保されます。

ノート:

高可用性の設定後に、archivelogモードが有効になります。高可用性にはarchivelogモードが必要であるため、高可用性の設定後に無効にしないでください。

ベスト・プラクティス:

Audit Vault AgentおよびDatabase Firewallをデプロイする前に、Audit Vault Serverの高可用性を構成することをお薦めします。

関連項目:

Oracle Data Guardの保護モード

高可用性のAudit Vault Serverは、HTTPSおよびOracle Netを介して通信します。相互に通信できるかぎり、Audit Vault Serverの場所に制限はありません。

高可用性を構成する前に考慮する重要な点

指定されたスタンバイAudit Vault Serverの既存のデータは高可用性構成時にパージされるため、次の点を考慮してください。

  • 既存のDatabase Firewallへの影響: 高可用性の構成後に、指定されたスタンバイAudit Vault Serverに登録されているすべてのDatabase Firewallを再度登録する必要があります。

  • 既存のAudit Vault Agentへの影響: 指定されたプライマリAudit Vault Serverに登録されているAudit Vault Agentには影響しません。

    ただし、指定されたスタンバイAudit Vault Serverに登録されているすべてのAudit Vault Agentは、高可用性の構成後にプライマリに再デプロイする必要があります。「高可用性ペアリング後のステップ」を参照してください。

  • 既存の監査証跡およびDatabase Firewallモニタリング・ポイントへの影響: 指定されたスタンバイAudit Vault Serverによってターゲットから収集される監査およびネットワーク・イベント・データは、高可用性の構成中にパージされるため、これらのターゲットが引き続き保護されるように、高可用性の構成後に、これらの監査証跡およびDatabase Firewallモニタリング・ポイントをAudit Vault Serverで再構成する必要があります。

  • Oracle AVDF 20.9以降では、エージェントレス収集は、ペアになっていないスタンドアロンのAudit Vault Serverでのみ使用できます。Audit Vault Serverを高可用性の実現のためにペアにすると、エージェントレス収集サービスの実行が停止されます。Audit Vault Serverをペアでなくすと、エージェントレス収集サービスの実行が自動的に再開されます。「エージェントレス収集を使用する監査証跡の追加」を参照してください。

Audit Vault Server高可用性構成プロセス

高可用性のためにAudit Vault Serverを構成するには、次の大まかなプロセスに従います。

  1. プライマリ・サーバーおよびスタンバイ・サーバーとして使用する2つのスタンドアロンAudit Vault Serverをインストールします。

    ベスト・プラクティス:

    2つのAudit Vault Serverを2つの異なるデータ・センターに配置します。
  2. 指定されたスタンバイAudit Vault Serverを構成します。
  3. 指定されたプライマリAudit Vault Serverを構成します。

9.2.2 Audit Vault Serverの高可用性を構成するための前提条件

Audit Vault Serverの高可用性を構成する前に、次の前提条件を満たしていることを確認します。

  1. プライマリ・サーバーおよびスタンバイ・サーバーとして使用する2つのスタンドアロンAudit Vault Serverをインストールします。

  2. 指定されたプライマリおよびスタンバイのAudit Vault Serverは、交代できるように必ず同じ構成にします。次の構成はすべて同じである必要があります。

    • Oracle Audit Vault and Database Firewall (Oracle AVDF)のバージョン
    • 合計システム・メモリー
    • 合計リポジトリ・ストレージ・サイズ
    • NFSアーカイブの場所の数
    • リポジトリの暗号化ステータス
  3. 2つのAudit Vault Server間のシステム時刻の差が60秒未満であることを確認します。

関連トピック

9.2.3 指定されたスタンバイAudit Vault Serverの構成

指定されたスタンバイAudit Vault Serverを構成する方法を学習します。

  1. 指定されたプライマリAudit Vault ServerのIPアドレスをノートにとります。

  2. 指定されたプライマリAudit Vault Serverのサーバー証明書をコピーします。

    1. プライマリAudit Vault Serverコンソールにスーパー管理者としてログインします。
    2. 「設定」タブをクリックします。左側のナビゲーション・メニューの「セキュリティ」タブがデフォルトで選択されています。
    3. 次に、メイン・ページで「証明書」サブタブをクリックします。
    4. 「サーバー証明書」サブタブをクリックします。
    5. 「証明書のコピー」ボタンをクリックします。

  3. 指定されたスタンバイAudit Vault Serverの左側のナビゲーション・メニューで、次のステップを実行します。

    1. 「システム」タブを選択します。
    2. メイン・ページの「構成」セクションで、「高可用性」リンクをクリックします。
    3. 「高可用性の構成」ダイアログの「現在のステータス」フィールドに、スタンドアロンである現在のAudit Vault Serverのステータスが示されます。
    4. 「このサーバーの構成」フィールドで、「スタンバイ・サーバー」オプションを選択します。

    5. 展開された「高可用性の構成」ダイアログで、次の設定を入力します。

      • プライマリ・サーバーIPアドレス: 指定されたプライマリAudit Vault ServerのIPアドレスを入力します。
      • プライマリ・サーバー証明書: 指定したプライマリAudit Vault Serverからコピーした証明書を貼り付けます。
    6. 「保存」をクリックします。指定されたプライマリAudit Vault ServerのIPアドレスおよび証明書がスタンバイAudit Vault Serverに保存され、ペアにする準備ができました。

9.2.4 指定されたプライマリAudit Vault Serverの構成

指定されたプライマリAudit Vault Serverを構成する方法を学習します。

  1. 指定されたスタンバイAudit Vault ServerのIPアドレスをノートにとります。

  2. 指定されたスタンバイAudit Vault Serverからサーバー証明書をコピーします。

    1. 指定されたスタンバイAudit Vault Serverコンソールにスーパー管理者としてログインします。
    2. 「設定」タブをクリックします。左側のナビゲーション・メニューの「セキュリティ」タブがデフォルトで選択されています。
    3. 次に、メイン・ページで「証明書」サブタブをクリックします。
    4. 「サーバー証明書」サブタブをクリックします。
    5. 「証明書のコピー」ボタンをクリックします。

  3. 指定されたプライマリAudit Vault Serverコンソールにスーパー管理者としてログインし、次のステップを実行します。

    1. 左側のナビゲーション・メニューで「システム」タブを選択します。
    2. メイン・ページの「構成」セクションで、「高可用性」リンクをクリックします。
    3. 「高可用性の構成」ダイアログの「現在のステータス」フィールドに、スタンドアロンである現在のAudit Vault Serverのステータスが示されます。
    4. 「このサーバーの構成」フィールドで、「プライマリ・サーバー」オプションを選択します。

    5. 展開された「高可用性の構成」ウィンドウで、次の設定を入力します。

      • スタンバイ・サーバーIPアドレス: スタンバイAudit Vault ServerのIPアドレスを入力します。
      • スタンバイ・サーバー証明書: スタンバイAudit Vault Serverからコピーした証明書を貼り付けます。

    6. ダイアログの下部にある「ペアリングの開始」ボタンをクリックして、高可用性のペアリングを開始します。更新済ステータスを取得するには、処理に15分以上かかる可能性があるため、Audit Vault Serverコンソールを定期的にリフレッシュします。リポジトリ内のデータ量によっては、この処理にさらに時間がかかる場合があります。高可用性ペアリングが完了すると、メイン・ページの「高可用性ステータス」フィールドに現在のステータスが表示されます。

      ノート:

      • 高可用性ペアリングが正常に完了した後、プライマリAudit Vault Serverでのみすべての構成タスクを実行します。これには、Audit Vault Agentのダウンロード、ターゲットおよびホストの登録、Database Firewallおよびモニタリング・ポイントの追加などのタスクがあります。スタンバイAudit Vault Serverのシステム時間の設定やIPアドレスの変更などのタスクを実行するには、「サーバーの日付、時刻およびキーボード設定の指定」の項を参照してください。
      • 高可用性ペアリングでは、プライマリおよびスタンバイのAudit Vault Serverに関連するNFSアーカイブの場所がマップされます。これらの場所のマッピングは、高可用性のペアリングが成功するとプライマリAudit Vault Serverのコンソールに表示されます。

9.2.5 Audit Vault Serverの高可用性ステータスの確認

Audit Vault Serverの高可用性ステータスを確認する方法を学習します。

高可用性ペアリングが正常に完了すると、スタンバイAudit Vault Serverコンソールにはアクセスできません。プライマリAudit Vault Serverコンソールですべてのタスクを実行します。スタンバイAudit Vault Serverコンソールにアクセスしようとすると、プライマリAudit Vault Serverコンソールにリダイレクトされます。

コンソールからの高可用性ステータスの確認

  1. Audit Vault Serverコンソールで、「設定」タブをクリックします。
  2. 左側のナビゲーション・メニューの「システム」を選択します。
  3. 「ステータス」セクションで、「高可用性ステータス」フィールドを確認します。

    指定できる値は次のとおりです。

    • スタンドアロン - このサーバーは高可用性用に構成されず、スタンドアロン・インスタンスです。

    • プライマリ - このサーバーは現在、プライマリAudit Vault Serverです。

    • 切断 - スタンバイAudit Vault Serverのロールがスタンドアロンまたはプライマリに変わったことが検出された場合、プライマリAudit Vault Serverはこのモードに切り替えます。これは、高可用性のペアリングが破損していることを示します。詳細は、Oracleサポートに連絡してください。

コマンドによる高可用性ステータスの確認

  1. supportユーザーとしてSSHを使用してAudit Vault Serverにログインします。

    ノート:

    Oracle Cloud Infrastructure (OCI)マーケットプレイス・イメージを使用している場合は、OPCユーザーとしてSSHを介して接続します。 
    ssh support@<audit_vault_server_ip_address>

  2. rootユーザーに切り替えます。

    su - root

    ノート:

    OCIマーケットプレイス・イメージを使用している場合は、sudo su -コマンドを使用します。

  3. oracleユーザーに切り替えます。

    su - oracle
  4. 次のコマンドを実行します。
    /usr/local/dbfw/bin/setup_ha.rb --status

    前述のコマンドの出力は、現在の高可用性(HA)ステータスと各種プロパティ(Data Guardブローカ・ステータス、高速リカバリ領域の使用状況、HAシステムの適用ラグなど)を知らせます。

9.2.6 高可用性ペアリング後のステップ

Audit Vault Agentおよびホスト監視エージェント用の高可用性ペアリング後のステップについて学習します。

指定されたプライマリAudit Vault ServerにデプロイされたAudit Vault Agentおよびホスト監視エージェントでは、それ以上のアクションは必要ありません。高可用性ペアリング中にAudit Vault Agentの情報がスタンバイAudit Vault Serverにレプリケートされます。

指定されたスタンバイAudit Vault ServerにデプロイされたAudit Vault Agentおよびホスト監視エージェントは、高可用性ペアリング後に、指定されたプライマリAudit Vault Serverと通信できなくなります。特定のエージェント・マシンでエージェントを再デプロイするには、次のステップを実行します。

  1. エージェント・マシンのAgent_Homeフォルダをクリーンアップします。
  2. Audit Vault Serverにエージェントを登録し、アクティブ化します。
  3. Audit Vault Serverコンソールからagent.jarファイルをダウンロードします。
  4. agent.jarファイルをエージェント・ホスト・マシンのAgent_Homeディレクトリにコピーします。
  5. Agent_Homeディレクトリで、次のコマンドを実行します。
    java -jar agent.jar
  6. 次のコマンドを実行し、プロンプトが表示されたらエージェントのアクティブ化キーを指定します。キーはAudit Vault Serverコンソールで使用できます。
    agentctl start -k

    ノート:

    入力の際、このキーは表示されません。

    関連項目:

    ホスト・コンピュータでのAudit Vault Agentのデプロイ

9.2.7 高可用性でのAudit Vault ServerとAudit Vault Agentの通信

Audit Vault AgentがAudit Vault Serverと通信する方法を学習します。

Audit Vault Agentソフトウェアは、Audit Vault Serverに関連する接続詳細とともにパッケージ化されています。高可用性環境の場合、Audit Vault Agentソフトウェアは、プライマリおよびスタンバイの両方のAudit Vault Serverに関連する接続詳細とともにパッケージ化されています。

指定されたプライマリAudit Vault Server上の既存のAudit Vault Agentは、高可用性構成中にプライマリおよびスタンバイの両方のAudit Vault Serverの接続詳細を受け取ります。高可用性構成後にデプロイされた新しいAudit Vault Agentも、プライマリおよびスタンバイの両方のAudit Vault Serverに関連する接続詳細とともにパッケージ化されています。

Audit Vault Serverのフェイルオーバーが発生すると、Audit Vault Agentは新しいプライマリAudit Vault Server (前のスタンバイ)に再接続します。

9.2.8 プライマリとスタンバイのAudit Vault Serverのロールの入替え

プライマリおよびスタンバイのAudit Vault Serverのロールを入れ替える方法を学習します。

  1. 自動フェイルオーバーが無効の場合は、有効にします。「Audit Vault Serverのフェイルオーバーの無効化または有効化」を参照してください。
  2. Oracle Data Guardオブザーバのステータスが「はい」になっていることを確認します。ステータスを確認するには、次のコマンドを各Audit Vault Serverで実行します。
    1. sshユーティリティを使用して、次のコマンドを実行します。
      ssh support@<IP address of Audit Vault Server>
    2. rootユーザーでログインします。
      su root
    3. oracleユーザーに切り替えます。
      su oracle
    4. 次のコマンドを実行します。
      /usr/local/dbfw/bin/setup_ha.rb --status

      出力のData Guardオブザーバ・フィールドに、「はい」と表示されます。

  3. Audit Vault Serverコンソールにスーパー管理者としてログインします。
  4. 「設定」タブをクリックします。
  5. 左側のナビゲーション・メニューの「システム」を選択します。
  6. 「構成」セクションで、「高可用性」をクリックします。「高可用性の構成」ダイアログが表示されます。
  7. 「ロールの切替え」をクリックします。
  8. 確認ウィンドウで、「OK」をクリックします。

    高可用性構成の進行状況を示すメッセージが表示されます。この処理には少なくとも10分かかり、その間、コンソールは使用できません。ブラウザを定期的にリフレッシュします。構成が完了すると、新しいプライマリAudit Vault Serverにリダイレクトされます。

関連トピック

9.2.9 プライマリAudit Vault ServersとスタンバイAudit Vault Serversの間のスイッチオーバーの開始

プライマリAudit Vault Serverが長期間(10分以上)オフラインになることがわかっており、高可用性構成を維持する必要がある場合は、スイッチオーバーを開始できます。プライマリ・データ・センターの指定が変更されたためにスタンバイAudit Vaultサーバーをプライマリに昇格させる必要がある場合も、スイッチオーバーを開始できます。

  1. supportユーザーとしてSSHを使用してAudit Vault Serverにログインします。

    ノート:

    Oracle Cloud Infrastructure (OCI)マーケットプレイス・イメージを使用している場合は、OPCユーザーとしてSSHを介して接続します。 
    ssh support@<audit_vault_server_ip_address>

  2. rootユーザーに切り替えます。

    su - root

    ノート:

    OCIマーケットプレイス・イメージを使用している場合は、sudo su -コマンドを使用します。

  3. oracleユーザーに切り替えます。

    su - oracle
  4. 既存のプライマリAudit Vault Serverで、次のようにスイッチオーバー・コマンドを実行します:
    /usr/local/dbfw/bin/setup_ha.rb --switchover

9.2.10 フェイルオーバー・シナリオの処理

高可用性環境では、自動フェイルオーバー・メカニズムはデフォルトで有効になっています。Audit Vault Serverコンソールを使用して、これを手動で無効にできます。

自動フェイルオーバーが有効な場合、システムはプライマリAudit Vault Serverの可用性を定期的にモニターします。プライマリが10分を超えて使用できない場合、スタンバイAudit Vault Serverへのフェイルオーバーが自動的にトリガーされます。ただし、プライマリAudit Vault Serverがユーザーによって正常に停止された場合、フェイルオーバーは自動的にトリガーされません。この場合、フェイルオーバーを手動で開始するには、必要に応じて状況を慎重に確認し、スタンバイAudit Vault Serverでoracleユーザーとして次のコマンドを実行します。 

/usr/local/dbfw/bin/setup_ha.rb --failover

フェイルオーバーでは、スタンバイAudit Vault Serverが新しいプライマリになります。前のプライマリが20分以内に復活した場合は、新しいスタンバイとして回復され、両方のシステムが高可用性構成になります。

前のプライマリが20分以内に復活しない場合は、使用不可となります。新しいプライマリはペアリングを解除され、スタンドアロン・インスタンスになります。次の手順を実行して、システムを高可用性構成に戻します。

  1. 指定された新しいスタンバイ用に新しいAudit Vault Serverをインストールします。
  2. 高可用性のためにAudit Vault Serverを構成するには、構成ステップを再度実行します。「Audit Vault Serverの高可用性の構成」を参照してください。

関連トピック

9.2.11 プライマリおよびスタンバイAudit Vault Serverのペアリング解除

高可用性環境でプライマリおよびスタンバイのAudit Vault Serverのペアリングを解除する方法を学習します。

  1. Audit Vault Serverコンソールにスーパー管理者としてログインします。
  2. 「設定」タブをクリックします。
  3. 左側のナビゲーション・メニューの「システム」を選択します。
  4. 「ステータス」ページで、「構成」セクションの「高可用性」リンクをクリックします。
  5. 高可用性モードでAudit Vault Serverのペアリングを解除するには、「アンペア」をクリックします。

    ペアリングを解除すると、Audit Vault Serverは同期されません。次の詳細をメモします。

    • プライマリAudit Vault ServerはStandaloneモードになり、スタンバイAudit Vault ServerはStandbyモードのままです。ただし、これら2つのAudit Vault Server間の通信はありません。
    • スタンバイAudit Vault Serverコンソールに接続しようとすると、プライマリAudit Vault Serverコンソール(Standalone)に移動します。
    • Audit Vault Agentは、スタンドアロンのAudit Vault Server (前のプライマリ)とのみ通信します。

    ノート:

    • スタンドアロン(前のプライマリ)のAudit Vault Serverでバックアップ操作は引き続き実行できます。
    • ペアリング解除後に高可用性を復元できます。詳細は、フェイルオーバー・シナリオの処理を参照してください。

9.2.12 Audit Vault Serverのフェイルオーバーの無効化または有効化

Audit Vault Serverのフェイルオーバーを有効または無効にする方法を学習します。

高可用性を構成すると、システムは自動フェイルオーバー用に構成されます。ただし、自動フェイルオーバーを無効にすることが必要になる場合があります。たとえば、メンテナンスのためにAudit Vault Serverを切断する必要がある場合や、ネットワークが不安定な環境で、頻繁にフェイルオーバーが発生する場合です。このような場合は、自動フェイルオーバーを無効にすることを選択し、次のステップに従ってフェイルオーバーを手動でトリガーできます。

Audit Vault Serverコンソールを使用して自動フェイルオーバーを有効または無効にするには:

  1. プライマリAudit Vault Serverにスーパー管理者としてログインします。
  2. 「設定」タブをクリックし、左側のナビゲーション・メニューの「システム」タブを選択します。
  3. 「構成」セクションの「高可用性」リンクをクリックします。
  4. 必要に応じて、「フェイルオーバーの有効化」または「フェイルオーバーの無効化」ボタンをクリックします。

または、次のコマンドを実行して、oracleユーザーとしてフェイルオーバーを無効または有効にできます。 

/usr/local/dbfw/bin/setup_ha.rb --disable_failover
/usr/local/dbfw/bin/setup_ha.rb --enable_failover

ノート:

次のコマンドを実行すると、フェイルオーバーが現在無効になっているか有効になっているかを確認できます。
sudo -u oracle /usr/local/dbfw/bin/setup_ha.rb --status

9.2.13 高可用性でのアーカイブと取得

高可用性における監査およびネットワーク・イベント・データのアーカイブと取得について学習します。

高可用性でのアーカイブおよび取得機能は、プライマリおよびスタンバイの両方のAudit Vault Serverインスタンスでデータファイルを処理するために必要なステップを自動的に処理します。アーカイブするには、NFSアーカイブの場所を指定する必要があります。高可用性環境のNFSアーカイブの場所には、プライマリおよびスタンバイのAudit Vault Serverの個別のNFS詳細が含まれます。

NFSアーカイブの場所がない場合は、次のステップに従って新しいNFSアーカイブの場所を作成します。

  1. Audit Vault Serverコンソールにスーパー管理者としてログインします。
  2. 「設定」タブをクリックし、左側のナビゲーション・メニューの「アーカイブ中」タブをクリックします。
  3. メイン・ページの「アーカイブの場所の管理」サブタブをクリックします。
  4. 「作成」をクリックし、NFSを使用する新しいアーカイブの場所を作成します。
  5. 「ネットワーク・ファイル・システム(NFS)」オプションがデフォルトで選択されています。次の詳細を入力して、新しいNFSアーカイブの場所を作成します。

    ノート:

    プライマリおよびスタンバイのAudit Vault Serverに指定されたNFSサーバー、エクスポート・ディレクトリおよびパスの組合せは一意である必要があります。
  6. 「保存」をクリックします。

    ノート:

    各Audit Vault Serverインスタンスには、独自のデータファイルのコピーがあります。アーカイブまたは取得すると、各インスタンスに関連付けられたデータファイルが自動的にアーカイブされるか、関連付けられたアーカイブの場所から取得されます。

    ベスト・プラクティス:

    プライマリおよびスタンバイのAudit Vault Server用のNFSサーバーを個別のデータ・センターに配置します。

9.2.14 高可用性でのAudit Vault Serverのバックアップとリストア

高可用性でのAudit Vault Serverのバックアップとリストアについて学習します。

高可用性構成では、スタンバイではなくプライマリAudit Vault Serverでバックアップ操作を実行する必要があります。障害からリカバリするには、以前に作成したバックアップからリストアできます。ただし、リストアされたシステムは、自動的に高可用性用に構成されません。バックアップからのリストアの完了後、高可用性用に再度構成する必要があります。

関連項目:

  1. Audit Vault Serverの高可用性を構成するための前提条件
  2. 指定されたスタンバイAudit Vault Serverの構成
  3. 指定されたプライマリAudit Vault Serverの構成

9.2.15 高可用性構成の削除

セカンダリ・ホストに障害が発生し、新しいスタンバイ・ホストを使用して高可用性ペアを再作成する必要がある場合は、プライマリAudit Vault Serverから高可用性構成を削除できます。

  1. supportユーザーとしてSSHを使用してAudit Vault Serverにログインします。

    ノート:

    Oracle Cloud Infrastructure (OCI)マーケットプレイス・イメージを使用している場合は、OPCユーザーとしてSSHを介して接続します。 
    ssh support@<audit_vault_server_ip_address>

  2. rootユーザーに切り替えます。

    su - root

    ノート:

    OCIマーケットプレイス・イメージを使用している場合は、sudo su -コマンドを使用します。

  3. oracleユーザーに切り替えます。

    su - oracle
  4. スタンバイ・ホストがオフラインであり、ネットワークから削除されていることを確認します。そのIPアドレスには既存のプライマリからアクセスできないようにする必要があります。
  5. プライマリAudit Vault Serverで、次のようにsetup_ha.rbスクリプトを実行して高可用性構成を削除します:
    /usr/local/dbfw/bin/setup_ha.rb -v
--password --unconfigure

9.3 Database Firewallの高可用性の構成

Database Firewallのペアの管理、構成、ロールの切替えおよびペアリング解除の方法を学習します。

9.3.1 Database Firewallの高可用性

Database Firewallの高可用性について学習します。

Database Firewallの高可用性により、ネットワークまたはDatabase Firewallの障害時にネットワーク・イベントの監視が中断されなくなります。また、データベース・ターゲットを監視するための企業セキュリティ・ポリシーが常に実施されます。

Database Firewallの高可用性は、次の2つの方法で実現できます。

  1. モニタリング(ホスト監視)またはモニタリング(帯域外)モードのDatabase Firewallインスタンスのペア。
  2. モニタリング/ブロック(プロキシ)モードで動作する複数のDatabase Firewallインスタンス。

前提条件

Database Firewallインスタンスを作成し、Audit Vault Serverコンソールに登録し、高可用性を最初に構成します。その後、モニタリング・ポイントを作成し、ターゲットを登録してから、高可用性用に構成されたDatabase Firewallインスタンスにポリシーを定義します。

Oracle AVDF 20.6以降では、Database Firewallインスタンスは、モニタリング(ホスト監視)またはモニタリング(帯域外)モードの既存のモニタリング・ポイントとペアにできます。詳細は、モニタリング・ポイントを使用したDatabase Firewallインスタンスの高可用性の構成を参照してください。

モニタリング(ホスト監視)またはモニタリング(帯域外)モードの高可用性

この構成では、次のことが行われます。

  • 高可用性(プライマリおよびスタンバイ)は、Audit Vault Serverを介して構成されます。
  • モニタリング(ホスト監視)モードの場合、ホスト監視エージェントはトラフィックを取得してプライマリおよびスタンバイのDatabase Firewallインスタンスに転送するように構成されます。
  • モニタリング(帯域外)デプロイメント・モードの場合、ネットワーク・スイッチはトラフィックをミラーリングしてプライマリおよびスタンバイの両方のDatabase Firewallインスタンスに転送するように構成されます。
  • ターゲット、モニタリング・ポイントおよびポリシーの構成は、Audit Vault ServerによってプライマリおよびスタンバイのDatabase Firewallインスタンスに自動的に適用されます。

Audit Vault Serverは、プライマリまたはスタンバイのDatabase Firewallインスタンスからネットワーク・イベントを収集します。Audit Vault Serverが、指定した期間(デフォルトは10分)プライマリDatabase Firewallに接続できない場合、Audit Vault Serverは、スタンバイDatabase Firewallからネットワーク・イベントを収集します。Audit Vault Serverは、データをAudit Vault Serverリポジトリに格納した後で、Database Firewallの両方のインスタンスからネットワーク・イベントを削除します。

モニタリング/ブロック(プロキシ)モードでの高可用性

モニタリング/ブロック(プロキシ)モードでデプロイされたDatabase Firewallインスタンスは、次の方法で高可用性用に構成できます。

  1. アクティブ(プライマリ)とパッシブ(スタンバイ)
  2. アクティブとアクティブ

アクティブとパッシブの構成の場合:

  • クライアント・プログラムは、プライマリDatabase Firewallインスタンスに接続するように構成されています。プライマリDatabase Firewallインスタンスにアクセスできないか停止している場合は、スタンバイに接続します。
  • Audit Vault Serverは、トラフィックを受信するDatabase Firewallインスタンス(アクティブまたはパッシブ)からネットワーク・イベントを収集します。

アクティブとアクティブの構成の場合:

  • この構成に、複数のDatabase Firewallインスタンスを含めることができます。
  • クライアント・プログラムは、この構成の一部であるアクティブなDatabase Firewallインスタンスに接続できます。
  • クライアントがアクティブなDatabase Firewallインスタンスを使用してセッションを確立すると、セッション全体で同じインスタンスと通信します。
  • Audit Vault Serverは、この構成の一部であるすべてのアクティブなDatabase Firewallインスタンスからネットワーク・イベントを収集します。

関連トピック

9.3.2 ホスト・モニター・エージェントまたは帯域外モードのDatabase Firewallの高可用性

ホスト・モニター・エージェントまたは帯域外モードでDatabase Firewallの高可用性ペアを構成する方法を学習します。

前提条件

  • 両方のDatabase FirewallインスタンスをAudit Vault Serverコンソールに登録します。
  • 高可用性モードのAudit Vault Serverがある場合は、登録時に、プライマリおよびスタンバイのAudit Vault ServerのIPアドレスおよび証明書を各Database Firewallインスタンスに指定する必要があります。
  • Oracle AVDFリリース20.5以前では、どちらのDatabase Firewallインスタンスにもモニタリング・ポイントが構成されていないことを確認します。既存のモニタリング・ポイントがある場合は、それらを削除する必要があります。
  • Oracle AVDFリリース20.6以降では、Database Firewallインスタンスと既存のモニタリング・ポイントのペアリングが可能です。
  1. Audit Vault Serverコンソールに管理者としてログインします。
  2. 「データベース・ファイアウォール」タブをクリックします。
  3. 左側のナビゲーション・メニューの「高可用性」を選択します。
  4. 「作成」をクリックします。
  5. 「回復可能なペアの作成」ダイアログで、ドロップダウン・リストから「プライマリ」フィールドおよび「スタンバイ」フィールドのDatabase Firewallインスタンスを選択します。
  6. 「保存」をクリックします。
  7. Oracle AVDF 20.6以降では、Database Firewallインスタンスのペアリング処理はバックグラウンド・ジョブです。Audit Vault Serverコンソールの「ジョブ」ダイアログを参照して、高可用性ペアリングのステータスを確認します。エントリCreate DBFW resilient pairに対してジョブを検索します。ペアリング処理が完了したら、「データベース・ファイアウォール」タブに移動し、左側のナビゲーション・メニューの「高可用性」タブに移動して、回復可能なペアを確認します。

9.3.3 プライマリDatabase FirewallとスタンバイDatabase Firewall間でのロールの入替え

高可用性でプライマリとスタンバイのDatabase Firewallインスタンスのロールを入れ替える方法を学習します。

  1. Audit Vault Serverコンソールに管理者としてログインします。
  2. 「Database Firewall」タブをクリックします。
  3. 左側のナビゲーション・メニューの「高可用性」を選択します。
  4. ロールを入れ替える特定のペアを選択します。
  5. 「スワップ」ボタンをクリックします。
  6. 確認ダイアログで、「OK」をクリックします。

    ノート:

    高可用性用に構成されたDatabase Firewallの場合、すべてのDatabase Firewallインスタンスの設定が同じである必要があります。フェイルオーバーが発生した場合、スタンバイDatabase Firewallインスタンスがプライマリになります。スタンバイDatabase FirewallインスタンスのSYSLOG設定が有効になります。このために、一部のSYSLOG設定およびロギングはオフになっています。これは、両方のインスタンスによって送信される重複ログを回避するために実行されます。

    前のプライマリが再びアクティブになると、Database Firewallインスタンス間の設定の転送または共有は行われません。変更によって次のフェイルオーバー中に設定が消去されるため、rsyslog.confの手動による変更は回避する必要があります。SYSLOG設定で実際に保存された値は、フェイルオーバー時に変更しないでください。

9.3.4 プライマリおよびスタンバイDatabase Firewallのペアリングの解除

高可用性でDatabase Firewallインスタンスのペアリングを解除する方法について学習します。

  1. Audit Vault Serverコンソールに管理者としてログインします。
  2. 「Database Firewall」タブをクリックします。
  3. 左側のナビゲーション・メニューの「高可用性」を選択します。
  4. ペアリングを解除するDatabase Firewallの特定のペアを選択します。
  5. 「アンペア」ボタンをクリックします。

    ノート:

    Oracle AVDF 20.4以前のリリースの場合は、「ブレーク」ボタンをクリックします。

9.3.5 モニタリング・ポイントを使用したDatabase Firewallインスタンスの高可用性の構成

モニタリング・ポイントを使用してDatabase Firewallインスタンスで高可用性を構成する方法を学習します。

Oracle AVDFリリース20.6以降では、指定されたプライマリDatabase Firewallインスタンスまたはスタンバイ・インスタンス、あるいはその両方にモニタリング・ポイントがある場合、これらのモニタリング・ポイントをペアにできます。指定されたプライマリ・インスタンス上の既存のモニタリング・ポイントは、ペアリング後にスタンバイDatabase Firewallインスタンスでレプリケートされます。同様に、指定されたスタンバイDatabase Firewallインスタンスの既存のモニタリング・ポイントは、ペアリング後にプライマリ・インスタンスでレプリケートされます。モニタリング・ポイントは回復可能なペア間で共有されます。

ターゲットの両方のDatabase Firewallインスタンスにモニタリング・ポイントがある場合、モニタリング・ポイントの構成データはマージされます。プライマリ・インスタンスのデータが優先されます。

ノート:

Oracle AVDF 20.6以降では、Database Firewallインスタンスは、モニタリング(ホスト監視)またはモニタリング(帯域外)モードの既存のモニタリング・ポイントとペアにできます。これは、モニタリング/ブロック(プロキシ)モードでデプロイされたDatabase Firewallインスタンスではサポートされていません。モニタリング/ブロック(プロキシ)モードでデプロイされたDatabase Firewallインスタンスを既存のモニタリング・ポイントとペアにしようとすると、エラーが表示されます。

モニタリング/ブロック(プロキシ)モードでは、回復可能なペアを作成できません。

  1. Audit Vault Serverコンソールに管理者としてログインします。
  2. 「Database Firewall」タブをクリックします。
  3. 左側のナビゲーション・メニューの「高可用性」を選択します。
  4. 「作成」をクリックします。
  5. 「回復可能なペアの作成」ダイアログで、ドロップダウン・リストから「プライマリ」フィールドおよび「スタンバイ」フィールドのDatabase Firewallインスタンスを選択します。
  6. 「保存」をクリックします。
  7. 両方のDatabase Firewallインスタンスにモニタリング・ポイントがある場合は、次の確認メッセージが表示されます。

    ペアリングにより両方のモニタリング・ポイントの設定がマージされます。続行しますか。

  8. 「OK」をクリックして、続行します。
  9. 次のメッセージが表示されます。

    リクエストが正常に送信されました。

  10. Database Firewallインスタンスのペアリング処理はバックグラウンド・ジョブです。高可用性ペアリングのステータスを確認するには、「ジョブ」ダイアログを参照してください。エントリCreate DBFW resilient pairに対してジョブを検索します。ペアリング処理が完了したら、「データベース・ファイアウォール」タブに移動し、左側のナビゲーション・メニューの「高可用性」タブに移動して、回復可能なペアを確認します。

9.4 プロキシ・モードでのDatabase Firewallの高可用性の構成

高可用性のモニタリング/ブロック(プロキシ)モード用にDatabase Firewallインスタンスを構成する方法を学習します。

Oracle AVDFには、モニタリング/ブロック(プロキシ)モードでデプロイされた複数のDatabase Firewallインスタンスに対して高可用性構成を設定するオプションがあります。これらの複数のインスタンスは、個別にインストールおよび構成されます。

前提条件

  • 高可用性の一部であるすべてのDatabase Firewallインスタンスをインストールして登録します。

  • 各Database Firewallインスタンスについて:

    • モニタリング・ポイントの構成は同一である必要があります。たとえば、Database FirewallインスタンスDBFW1とDBFW2には同じ数のモニタリング・ポイントが必要であり、これらのモニタリング・ポイントの構成も同じである必要があります。

    • 特定のターゲットに対して同じDatabase Firewallポリシーをデプロイします。たとえば、インスタンスDBFW1およびDBFW2にDatabase FirewallポリシーP1 (ターゲットT1の場合)をデプロイします。

プロキシ・モードでの高可用性構成は、次の方法で実現できます。

  • Oracle Databaseのクライアント構成を使用
  • Oracleおよびその他のデータベース・タイプでDNSを使用

9.4.1 クライアント構成によるプロキシ・モードでのDatabase Firewallの高可用性の構成

Oracle Databaseのtnsnames.oraを使用して、プロキシ・モードで2つ以上のDatabase Firewallインスタンスの高可用性を構成する方法を学習します。

OCI (Oracle Call Interface)ベースのクライアントは、tnsnames.oraファイルを使用してOracle Databaseに接続します。このファイル内の次のパラメータは、この構成の一部として変更する必要があります。

  1. ADDRESS_LIST

  2. CONNECT_TIMEOUT

  3. LOAD_BALANCE

ADDRESS_LIST

すべてのDatabase FirewallインスタンスのアドレスをADDRESS_LISTに含めます。クライアント・プログラムは、最初のDatabase Firewallインスタンスに接続します。失敗した試行の場合は、クライアントは順番に次のインスタンスに接続します。

たとえば:


dbfw1=(DESCRIPTION=(ADDRESS_LIST=(ADDRESS=(PROTOCOL=TCP)(HOST=192.0.2.1)(PORT=1111))

                                 (ADDRESS=(PROTOCOL=TCP)(HOST=192.0.2.2)(PORT=2222)))(CONNECT_DATA=(SERVICE_NAME=dbfwdb)))

説明:

dbfw1はnet_service_nameと呼ばれます。

ホスト= 192.0.2.1およびホスト= 192.0.2.2は、高可用性用に構成されたDatabase FirewallインスタンスのIPアドレスです。

SQL*Plusクライアントを使用する場合は、次のコマンドを使用します。 

sqlplus <username>/<password>@<net_service_name>

SQL*Plusクライアントは、IP 192.0.2.1を使用して、最初のDatabase Firewallインスタンスへの接続を試みます。最初のインスタンスが停止しているかアクセスできない場合、クライアントはIPアドレス192.0.2.2を持つ2番目のDatabase Firewallインスタンスへの接続を試みます。

CONNECT_TIMEOUT

CONNECT_TIMEOUT (秒)パラメータを使用して、Database Firewallインスタンスが停止しているかどうかを迅速に検出します。

たとえば:

dbfw1=(DESCRIPTION=(CONNECT_TIMEOUT=10)(ADDRESS_LIST=(ADDRESS=(PROTOCOL=TCP)(HOST=192.0.2.1)(PORT=1111))(ADDRESS=(PROTOCOL=TCP)(HOST=192.0.2.2)(PORT=2222)))(CONNECT_DATA=(SERVICE_NAME=dbfwdb)))

クライアントは、IP 192.0.2.1を使用して最初のDatabase Firewallインスタンスへの接続を試みます。最初のインスタンスが停止しているか、アクセスできない場合、クライアントはCONNECT_TIMEOUTパラメータに指定された期間(秒)待機します。前述の例では10秒です。次に、クライアントは、IPアドレス192.0.2.2を使用して2番目のDatabase Firewallインスタンスへの接続を試みます。

ノート:

  • デフォルトでは、CONNECT_TIMEOUTの値は60秒です。
  • 詳細は、『Oracle Database Net Services管理者ガイド』を参照してください。

LOAD_BALANCE

LOAD_BALANCEパラメータを使用して、クライアント接続でランダムな順序でDatabase Firewallインスタンスに接続します。

たとえば:

dbfw1=(DESCRIPTION=(ADDRESS_LIST=(LOAD_BALANCE=on)(ADDRESS=(PROTOCOL=TCP)(HOST=192.0.2.1)(PORT=1111))(ADDRESS=(PROTOCOL=TCP)(HOST=192.0.2.2)(PORT=2222)))(CONNECT_DATA=(SERVICE_NAME=dbfwdb)))

ここで、クライアントはランダムな順序で192.0.2.1または192.0.2.2に接続します。

ノート:

  • onに設定すると、LOAD_BALANCEパラメータは、Database Firewallアドレスのリストをランダムな順序で処理するようにクライアントに指示します。offに設定すると、クライアントは成功するまでアドレスを順番に試行します。
  • 詳細は、『Oracle Database Net Services管理者ガイド』を参照してください。

9.4.2 DNSを使用したプロキシ・モードでのDatabase Firewallの高可用性の構成

Oracleおよびその他のデータベース・タイプのDNSを使用して、モニタリング/ブロック(プロキシ)モードで複数のDatabase Firewallインスタンスの高可用性を構成する方法を学習します。

前提条件

  1. Database Firewallインスタンスをインストールして登録します。

  2. 各Database Firewallインスタンスについて:

    • モニタリング・ポイントの構成は同一である必要があります。たとえば、Database FirewallインスタンスDBFW1とDBFW2には同じ数のモニタリング・ポイントが必要であり、これらのモニタリング・ポイントの構成も同じである必要があります。

    • 特定のターゲットに対して同じDatabase Firewallポリシーをデプロイします。たとえば、インスタンスDBFW1およびDBFW2にDatabase FirewallポリシーP1 (ターゲットT1の場合)をデプロイします。

  3. クライアント・プログラムは、構成されたDNSサーバーに接続できる必要があります。

DNSでの完全修飾ドメイン名の設定

  1. Database FirewallインスタンスのIPアドレスを表す完全修飾ドメイン名を作成します。

  2. 選択したDNSサーバーをクライアント・ホスト上の名前解決サーバーとして構成します。

  3. クライアントは、接続文字列の完全修飾ドメイン名を使用してDatabase Firewallインスタンスに接続する必要があります。

  4. たとえば、SQL*Plusを使用している場合は、次のステップに従います。

    1. SQL*Plus接続をユーザー名またはパスワードなしでsqlplus /nologとして開始します。
    2. コマンドconnect <username>/<password>@<fully qualified domain name>:<port/service>を実行します。

  5. DNSは、次のいずれかの方法で構成できます。

    1. Database Firewallインスタンスの順序付きリスト(DBFW1、DBFW2など)に常に接続するようにDNSを構成します。クライアントが最初のインスタンス(DBFW1)に接続できない場合、2番目のインスタンス(DBFW2)への接続が試みられます。
    2. Database Firewallインスタンスへの接続にラウンドロビン・アルゴリズムを使用するようにDNSを構成します。