9 Oracle AVDFにおける高可用性
Oracle AVDFは、Audit Vault ServerおよびDatabase Firewallの高可用性をサポートしています。
9.1 Oracle AVDFにおける高可用性について
Oracle AVDFにおける高可用性について学習します。
Oracle AVDFにおける高可用性は、監査データ収集、ネットワーク・イベント・データ収集、分析、レポートなどのデータベース・アクティビティ監視サービスの継続性を確保することで、信頼性を高めます。高可用性には、Audit Vault ServerインスタンスのペアまたはDatabase Firewallインスタンスのペアが必要です。1つのインスタンスがプライマリとして動作し、別のインスタンスがスタンバイとして動作します。
9.2 Audit Vault Serverの高可用性の構成
Audit Vault Serverの高可用性の構成、モニターまたは更新について学習します。
9.2.1 Audit Vault Serverにおける高可用性について
Audit Vault Serverにおける高可用性には、ビジネス継続性のためにペアになっている2つのAudit Vault Serverインスタンスが含まれます。
この構成では、1つのAudit Vault Serverインスタンスをプライマリとして指定し、もう1つをスタンバイとして指定します。プライマリAudit Vault Serverは、Audit Vault Serverの機能を提供するアクティブ・サーバーです。スタンバイは自動的に同期され(監査データおよびネットワーク・イベント・データ)、これにはプライマリの一貫性のあるコピーがあります。
10分間の計画外停止が原因でプライマリAudit Vault Serverが使用できなくなった場合、構成はスタンバイ・サーバーに自動的にフェイルオーバーします。前のスタンバイが新しいプライマリになります。
高可用性では、ターゲット登録、Audit Vault Agentマシン登録、Database Firewall構成に関する構成データがスタンバイと自動的に同期されます。
Audit Vault Serverにおける高可用性は、Oracle Data Guardを使用して内部で管理されます。Audit Vault Serverのペアを「最大パフォーマンス」モードでデプロイします。これにより、プライマリAudit Vault Serverインスタンスのパフォーマンスに影響を与えることなく、最高レベルのデータ保護が確保されます。
ノート:
高可用性の設定後に、archivelogモードが有効になります。高可用性にはarchivelogモードが必要であるため、高可用性の設定後に無効にしないでください。ベスト・プラクティス:
Audit Vault AgentおよびDatabase Firewallをデプロイする前に、Audit Vault Serverの高可用性を構成することをお薦めします。高可用性のAudit Vault Serverは、HTTPSおよびOracle Netを介して通信します。相互に通信できるかぎり、Audit Vault Serverの場所に制限はありません。
高可用性を構成する前に考慮する重要な点
指定されたスタンバイAudit Vault Serverの既存のデータは高可用性構成時にパージされるため、次の点を考慮してください。
- 既存のDatabase Firewallへの影響: 高可用性の構成後に、指定されたスタンバイAudit Vault Serverに登録されているすべてのDatabase Firewallを再度登録する必要があります。
-
既存のAudit Vault Agentへの影響: 指定されたプライマリAudit Vault Serverに登録されているAudit Vault Agentには影響しません。
ただし、指定されたスタンバイAudit Vault Serverに登録されているすべてのAudit Vault Agentは、高可用性の構成後にプライマリに再デプロイする必要があります。「高可用性ペアリング後のステップ」を参照してください。
-
既存の監査証跡およびDatabase Firewallモニタリング・ポイントへの影響: 指定されたスタンバイAudit Vault Serverによってターゲットから収集される監査およびネットワーク・イベント・データは、高可用性の構成中にパージされるため、これらのターゲットが引き続き保護されるように、高可用性の構成後に、これらの監査証跡およびDatabase Firewallモニタリング・ポイントをAudit Vault Serverで再構成する必要があります。
- Oracle AVDF 20.9以降では、エージェントレス収集は、ペアになっていないスタンドアロンのAudit Vault Serverでのみ使用できます。Audit Vault Serverを高可用性の実現のためにペアにすると、エージェントレス収集サービスの実行が停止されます。Audit Vault Serverをペアでなくすと、エージェントレス収集サービスの実行が自動的に再開されます。「エージェントレス収集を使用する監査証跡の追加」を参照してください。
Audit Vault Server高可用性構成プロセス
高可用性のためにAudit Vault Serverを構成するには、次の大まかなプロセスに従います。
-
プライマリ・サーバーおよびスタンバイ・サーバーとして使用する2つのスタンドアロンAudit Vault Serverをインストールします。
ベスト・プラクティス:
2つのAudit Vault Serverを2つの異なるデータ・センターに配置します。 - 指定されたスタンバイAudit Vault Serverを構成します。
- 指定されたプライマリAudit Vault Serverを構成します。
9.2.2 Audit Vault Serverの高可用性を構成するための前提条件
Audit Vault Serverの高可用性を構成する前に、次の前提条件を満たしていることを確認します。
- プライマリ・サーバーおよびスタンバイ・サーバーとして使用する2つのスタンドアロンAudit Vault Serverをインストールします。
-
指定されたプライマリおよびスタンバイのAudit Vault Serverは、交代できるように必ず同じ構成にします。次の構成はすべて同じである必要があります。
- Oracle Audit Vault and Database Firewall (Oracle AVDF)のバージョン
- 合計システム・メモリー
- 合計リポジトリ・ストレージ・サイズ
- NFSアーカイブの場所の数
- リポジトリの暗号化ステータス
- 2つのAudit Vault Server間のシステム時刻の差が60秒未満であることを確認します。
9.2.3 指定されたスタンバイAudit Vault Serverの構成
指定されたスタンバイAudit Vault Serverを構成する方法を学習します。
- 指定されたプライマリAudit Vault ServerのIPアドレスをノートにとります。
-
指定されたプライマリAudit Vault Serverのサーバー証明書をコピーします。
- プライマリAudit Vault Serverコンソールにスーパー管理者としてログインします。
- 「設定」タブをクリックします。左側のナビゲーション・メニューの「セキュリティ」タブがデフォルトで選択されています。
- 次に、メイン・ページで「証明書」サブタブをクリックします。
- 「サーバー証明書」サブタブをクリックします。
- 「証明書のコピー」ボタンをクリックします。
-
指定されたスタンバイAudit Vault Serverの左側のナビゲーション・メニューで、次のステップを実行します。
- 「システム」タブを選択します。
- メイン・ページの「構成」セクションで、「高可用性」リンクをクリックします。
- 「高可用性の構成」ダイアログの「現在のステータス」フィールドに、スタンドアロンである現在のAudit Vault Serverのステータスが示されます。
- 「このサーバーの構成」フィールドで、「スタンバイ・サーバー」オプションを選択します。
-
展開された「高可用性の構成」ダイアログで、次の設定を入力します。
- プライマリ・サーバーIPアドレス: 指定されたプライマリAudit Vault ServerのIPアドレスを入力します。
- プライマリ・サーバー証明書: 指定したプライマリAudit Vault Serverからコピーした証明書を貼り付けます。
- 「保存」をクリックします。指定されたプライマリAudit Vault ServerのIPアドレスおよび証明書がスタンバイAudit Vault Serverに保存され、ペアにする準備ができました。
9.2.4 指定されたプライマリAudit Vault Serverの構成
指定されたプライマリAudit Vault Serverを構成する方法を学習します。
- 指定されたスタンバイAudit Vault ServerのIPアドレスをノートにとります。
-
指定されたスタンバイAudit Vault Serverからサーバー証明書をコピーします。
- 指定されたスタンバイAudit Vault Serverコンソールにスーパー管理者としてログインします。
- 「設定」タブをクリックします。左側のナビゲーション・メニューの「セキュリティ」タブがデフォルトで選択されています。
- 次に、メイン・ページで「証明書」サブタブをクリックします。
- 「サーバー証明書」サブタブをクリックします。
- 「証明書のコピー」ボタンをクリックします。
-
指定されたプライマリAudit Vault Serverコンソールにスーパー管理者としてログインし、次のステップを実行します。
- 左側のナビゲーション・メニューで「システム」タブを選択します。
- メイン・ページの「構成」セクションで、「高可用性」リンクをクリックします。
- 「高可用性の構成」ダイアログの「現在のステータス」フィールドに、スタンドアロンである現在のAudit Vault Serverのステータスが示されます。
- 「このサーバーの構成」フィールドで、「プライマリ・サーバー」オプションを選択します。
-
展開された「高可用性の構成」ウィンドウで、次の設定を入力します。
- スタンバイ・サーバーIPアドレス: スタンバイAudit Vault ServerのIPアドレスを入力します。
- スタンバイ・サーバー証明書: スタンバイAudit Vault Serverからコピーした証明書を貼り付けます。
-
ダイアログの下部にある「ペアリングの開始」ボタンをクリックして、高可用性のペアリングを開始します。更新済ステータスを取得するには、処理に15分以上かかる可能性があるため、Audit Vault Serverコンソールを定期的にリフレッシュします。リポジトリ内のデータ量によっては、この処理にさらに時間がかかる場合があります。高可用性ペアリングが完了すると、メイン・ページの「高可用性ステータス」フィールドに現在のステータスが表示されます。
ノート:
- 高可用性ペアリングが正常に完了した後、プライマリAudit Vault Serverでのみすべての構成タスクを実行します。これには、Audit Vault Agentのダウンロード、ターゲットおよびホストの登録、Database Firewallおよびモニタリング・ポイントの追加などのタスクがあります。スタンバイAudit Vault Serverのシステム時間の設定やIPアドレスの変更などのタスクを実行するには、「サーバーの日付、時刻およびキーボード設定の指定」の項を参照してください。
- 高可用性ペアリングでは、プライマリおよびスタンバイのAudit Vault Serverに関連するNFSアーカイブの場所がマップされます。これらの場所のマッピングは、高可用性のペアリングが成功するとプライマリAudit Vault Serverのコンソールに表示されます。
9.2.5 Audit Vault Serverの高可用性ステータスの確認
Audit Vault Serverの高可用性ステータスを確認する方法を学習します。
高可用性ペアリングが正常に完了すると、スタンバイAudit Vault Serverコンソールにはアクセスできません。プライマリAudit Vault Serverコンソールですべてのタスクを実行します。スタンバイAudit Vault Serverコンソールにアクセスしようとすると、プライマリAudit Vault Serverコンソールにリダイレクトされます。
コンソールからの高可用性ステータスの確認
- Audit Vault Serverコンソールで、「設定」タブをクリックします。
- 左側のナビゲーション・メニューの「システム」を選択します。
- 「ステータス」セクションで、「高可用性ステータス」フィールドを確認します。
指定できる値は次のとおりです。
-
スタンドアロン - このサーバーは高可用性用に構成されず、スタンドアロン・インスタンスです。
-
プライマリ - このサーバーは現在、プライマリAudit Vault Serverです。
-
切断 - スタンバイAudit Vault Serverのロールがスタンドアロンまたはプライマリに変わったことが検出された場合、プライマリAudit Vault Serverはこのモードに切り替えます。これは、高可用性のペアリングが破損していることを示します。詳細は、Oracleサポートに連絡してください。
-
コマンドによる高可用性ステータスの確認
-
support
ユーザーとしてSSHを使用してAudit Vault Serverにログインします。ノート:
Oracle Cloud Infrastructure (OCI)マーケットプレイス・イメージを使用している場合は、OPC
ユーザーとしてSSHを介して接続します。ssh support@<audit_vault_server_ip_address>
-
root
ユーザーに切り替えます。su - root
ノート:
OCIマーケットプレイス・イメージを使用している場合は、sudo su -
コマンドを使用します。 -
oracle
ユーザーに切り替えます。su - oracle
- 次のコマンドを実行します。
/usr/local/dbfw/bin/setup_ha.rb --status
前述のコマンドの出力は、現在の高可用性(HA)ステータスと各種プロパティ(Data Guardブローカ・ステータス、高速リカバリ領域の使用状況、HAシステムの適用ラグなど)を知らせます。
9.2.6 高可用性ペアリング後のステップ
Audit Vault Agentおよびホスト監視エージェント用の高可用性ペアリング後のステップについて学習します。
指定されたプライマリAudit Vault ServerにデプロイされたAudit Vault Agentおよびホスト監視エージェントでは、それ以上のアクションは必要ありません。高可用性ペアリング中にAudit Vault Agentの情報がスタンバイAudit Vault Serverにレプリケートされます。
指定されたスタンバイAudit Vault ServerにデプロイされたAudit Vault Agentおよびホスト監視エージェントは、高可用性ペアリング後に、指定されたプライマリAudit Vault Serverと通信できなくなります。特定のエージェント・マシンでエージェントを再デプロイするには、次のステップを実行します。
9.2.7 高可用性でのAudit Vault ServerとAudit Vault Agentの通信
Audit Vault AgentがAudit Vault Serverと通信する方法を学習します。
Audit Vault Agentソフトウェアは、Audit Vault Serverに関連する接続詳細とともにパッケージ化されています。高可用性環境の場合、Audit Vault Agentソフトウェアは、プライマリおよびスタンバイの両方のAudit Vault Serverに関連する接続詳細とともにパッケージ化されています。
指定されたプライマリAudit Vault Server上の既存のAudit Vault Agentは、高可用性構成中にプライマリおよびスタンバイの両方のAudit Vault Serverの接続詳細を受け取ります。高可用性構成後にデプロイされた新しいAudit Vault Agentも、プライマリおよびスタンバイの両方のAudit Vault Serverに関連する接続詳細とともにパッケージ化されています。
Audit Vault Serverのフェイルオーバーが発生すると、Audit Vault Agentは新しいプライマリAudit Vault Server (前のスタンバイ)に再接続します。
9.2.8 プライマリとスタンバイのAudit Vault Serverのロールの入替え
プライマリおよびスタンバイのAudit Vault Serverのロールを入れ替える方法を学習します。
関連トピック
9.2.9 プライマリAudit Vault ServersとスタンバイAudit Vault Serversの間のスイッチオーバーの開始
プライマリAudit Vault Serverが長期間(10分以上)オフラインになることがわかっており、高可用性構成を維持する必要がある場合は、スイッチオーバーを開始できます。プライマリ・データ・センターの指定が変更されたためにスタンバイAudit Vaultサーバーをプライマリに昇格させる必要がある場合も、スイッチオーバーを開始できます。
-
support
ユーザーとしてSSHを使用してAudit Vault Serverにログインします。ノート:
Oracle Cloud Infrastructure (OCI)マーケットプレイス・イメージを使用している場合は、OPC
ユーザーとしてSSHを介して接続します。ssh support@<audit_vault_server_ip_address>
-
root
ユーザーに切り替えます。su - root
ノート:
OCIマーケットプレイス・イメージを使用している場合は、sudo su -
コマンドを使用します。 -
oracle
ユーザーに切り替えます。su - oracle
- 既存のプライマリAudit Vault Serverで、次のようにスイッチオーバー・コマンドを実行します:
/usr/local/dbfw/bin/setup_ha.rb --switchover
9.2.10 フェイルオーバー・シナリオの処理
高可用性環境では、自動フェイルオーバー・メカニズムはデフォルトで有効になっています。Audit Vault Serverコンソールを使用して、これを手動で無効にできます。
自動フェイルオーバーが有効な場合、システムはプライマリAudit Vault Serverの可用性を定期的にモニターします。プライマリが10分を超えて使用できない場合、スタンバイAudit Vault Serverへのフェイルオーバーが自動的にトリガーされます。ただし、プライマリAudit Vault Serverがユーザーによって正常に停止された場合、フェイルオーバーは自動的にトリガーされません。この場合、フェイルオーバーを手動で開始するには、必要に応じて状況を慎重に確認し、スタンバイAudit Vault Serverでoracleユーザーとして次のコマンドを実行します。
/usr/local/dbfw/bin/setup_ha.rb --failover
フェイルオーバーでは、スタンバイAudit Vault Serverが新しいプライマリになります。前のプライマリが20分以内に復活した場合は、新しいスタンバイとして回復され、両方のシステムが高可用性構成になります。
前のプライマリが20分以内に復活しない場合は、使用不可となります。新しいプライマリはペアリングを解除され、スタンドアロン・インスタンスになります。次の手順を実行して、システムを高可用性構成に戻します。
- 指定された新しいスタンバイ用に新しいAudit Vault Serverをインストールします。
- 高可用性のためにAudit Vault Serverを構成するには、構成ステップを再度実行します。「Audit Vault Serverの高可用性の構成」を参照してください。
関連トピック
9.2.11 プライマリおよびスタンバイAudit Vault Serverのペアリング解除
高可用性環境でプライマリおよびスタンバイのAudit Vault Serverのペアリングを解除する方法を学習します。
9.2.12 Audit Vault Serverのフェイルオーバーの無効化または有効化
Audit Vault Serverのフェイルオーバーを有効または無効にする方法を学習します。
高可用性を構成すると、システムは自動フェイルオーバー用に構成されます。ただし、自動フェイルオーバーを無効にすることが必要になる場合があります。たとえば、メンテナンスのためにAudit Vault Serverを切断する必要がある場合や、ネットワークが不安定な環境で、頻繁にフェイルオーバーが発生する場合です。このような場合は、自動フェイルオーバーを無効にすることを選択し、次のステップに従ってフェイルオーバーを手動でトリガーできます。
Audit Vault Serverコンソールを使用して自動フェイルオーバーを有効または無効にするには:
- プライマリAudit Vault Serverにスーパー管理者としてログインします。
- 「設定」タブをクリックし、左側のナビゲーション・メニューの「システム」タブを選択します。
- 「構成」セクションの「高可用性」リンクをクリックします。
- 必要に応じて、「フェイルオーバーの有効化」または「フェイルオーバーの無効化」ボタンをクリックします。
または、次のコマンドを実行して、oracleユーザーとしてフェイルオーバーを無効または有効にできます。
/usr/local/dbfw/bin/setup_ha.rb --disable_failover
/usr/local/dbfw/bin/setup_ha.rb --enable_failover
ノート:
次のコマンドを実行すると、フェイルオーバーが現在無効になっているか有効になっているかを確認できます。sudo -u oracle /usr/local/dbfw/bin/setup_ha.rb --status
9.2.13 高可用性でのアーカイブと取得
高可用性における監査およびネットワーク・イベント・データのアーカイブと取得について学習します。
高可用性でのアーカイブおよび取得機能は、プライマリおよびスタンバイの両方のAudit Vault Serverインスタンスでデータファイルを処理するために必要なステップを自動的に処理します。アーカイブするには、NFSアーカイブの場所を指定する必要があります。高可用性環境のNFSアーカイブの場所には、プライマリおよびスタンバイのAudit Vault Serverの個別のNFS詳細が含まれます。
NFSアーカイブの場所がない場合は、次のステップに従って新しいNFSアーカイブの場所を作成します。
9.2.14 高可用性でのAudit Vault Serverのバックアップとリストア
高可用性でのAudit Vault Serverのバックアップとリストアについて学習します。
高可用性構成では、スタンバイではなくプライマリAudit Vault Serverでバックアップ操作を実行する必要があります。障害からリカバリするには、以前に作成したバックアップからリストアできます。ただし、リストアされたシステムは、自動的に高可用性用に構成されません。バックアップからのリストアの完了後、高可用性用に再度構成する必要があります。
9.2.15 高可用性構成の削除
セカンダリ・ホストに障害が発生し、新しいスタンバイ・ホストを使用して高可用性ペアを再作成する必要がある場合は、プライマリAudit Vault Serverから高可用性構成を削除できます。
-
support
ユーザーとしてSSHを使用してAudit Vault Serverにログインします。ノート:
Oracle Cloud Infrastructure (OCI)マーケットプレイス・イメージを使用している場合は、OPC
ユーザーとしてSSHを介して接続します。ssh support@<audit_vault_server_ip_address>
-
root
ユーザーに切り替えます。su - root
ノート:
OCIマーケットプレイス・イメージを使用している場合は、sudo su -
コマンドを使用します。 -
oracle
ユーザーに切り替えます。su - oracle
- スタンバイ・ホストがオフラインであり、ネットワークから削除されていることを確認します。そのIPアドレスには既存のプライマリからアクセスできないようにする必要があります。
- プライマリAudit Vault Serverで、次のようにsetup_ha.rbスクリプトを実行して高可用性構成を削除します:
/usr/local/dbfw/bin/setup_ha.rb -v --password --unconfigure
9.3 Database Firewallの高可用性の構成
Database Firewallのペアの管理、構成、ロールの切替えおよびペアリング解除の方法を学習します。
9.3.1 Database Firewallの高可用性
Database Firewallの高可用性について学習します。
Database Firewallの高可用性により、ネットワークまたはDatabase Firewallの障害時にネットワーク・イベントの監視が中断されなくなります。また、データベース・ターゲットを監視するための企業セキュリティ・ポリシーが常に実施されます。
Database Firewallの高可用性は、次の2つの方法で実現できます。
- モニタリング(ホスト監視)またはモニタリング(帯域外)モードのDatabase Firewallインスタンスのペア。
- モニタリング/ブロック(プロキシ)モードで動作する複数のDatabase Firewallインスタンス。
前提条件
Database Firewallインスタンスを作成し、Audit Vault Serverコンソールに登録し、高可用性を最初に構成します。その後、モニタリング・ポイントを作成し、ターゲットを登録してから、高可用性用に構成されたDatabase Firewallインスタンスにポリシーを定義します。
Oracle AVDF 20.6以降では、Database Firewallインスタンスは、モニタリング(ホスト監視)またはモニタリング(帯域外)モードの既存のモニタリング・ポイントとペアにできます。詳細は、モニタリング・ポイントを使用したDatabase Firewallインスタンスの高可用性の構成を参照してください。
モニタリング(ホスト監視)またはモニタリング(帯域外)モードの高可用性
この構成では、次のことが行われます。
- 高可用性(プライマリおよびスタンバイ)は、Audit Vault Serverを介して構成されます。
- モニタリング(ホスト監視)モードの場合、ホスト監視エージェントはトラフィックを取得してプライマリおよびスタンバイのDatabase Firewallインスタンスに転送するように構成されます。
- モニタリング(帯域外)デプロイメント・モードの場合、ネットワーク・スイッチはトラフィックをミラーリングしてプライマリおよびスタンバイの両方のDatabase Firewallインスタンスに転送するように構成されます。
- ターゲット、モニタリング・ポイントおよびポリシーの構成は、Audit Vault ServerによってプライマリおよびスタンバイのDatabase Firewallインスタンスに自動的に適用されます。
Audit Vault Serverは、プライマリまたはスタンバイのDatabase Firewallインスタンスからネットワーク・イベントを収集します。Audit Vault Serverが、指定した期間(デフォルトは10分)プライマリDatabase Firewallに接続できない場合、Audit Vault Serverは、スタンバイDatabase Firewallからネットワーク・イベントを収集します。Audit Vault Serverは、データをAudit Vault Serverリポジトリに格納した後で、Database Firewallの両方のインスタンスからネットワーク・イベントを削除します。
モニタリング/ブロック(プロキシ)モードでの高可用性
モニタリング/ブロック(プロキシ)モードでデプロイされたDatabase Firewallインスタンスは、次の方法で高可用性用に構成できます。
- アクティブ(プライマリ)とパッシブ(スタンバイ)
- アクティブとアクティブ
アクティブとパッシブの構成の場合:
- クライアント・プログラムは、プライマリDatabase Firewallインスタンスに接続するように構成されています。プライマリDatabase Firewallインスタンスにアクセスできないか停止している場合は、スタンバイに接続します。
- Audit Vault Serverは、トラフィックを受信するDatabase Firewallインスタンス(アクティブまたはパッシブ)からネットワーク・イベントを収集します。
アクティブとアクティブの構成の場合:
- この構成に、複数のDatabase Firewallインスタンスを含めることができます。
- クライアント・プログラムは、この構成の一部であるアクティブなDatabase Firewallインスタンスに接続できます。
- クライアントがアクティブなDatabase Firewallインスタンスを使用してセッションを確立すると、セッション全体で同じインスタンスと通信します。
- Audit Vault Serverは、この構成の一部であるすべてのアクティブなDatabase Firewallインスタンスからネットワーク・イベントを収集します。
9.3.2 ホスト・モニター・エージェントまたは帯域外モードのDatabase Firewallの高可用性
ホスト・モニター・エージェントまたは帯域外モードでDatabase Firewallの高可用性ペアを構成する方法を学習します。
前提条件
- 両方のDatabase FirewallインスタンスをAudit Vault Serverコンソールに登録します。
- 高可用性モードのAudit Vault Serverがある場合は、登録時に、プライマリおよびスタンバイのAudit Vault ServerのIPアドレスおよび証明書を各Database Firewallインスタンスに指定する必要があります。
- Oracle AVDFリリース20.5以前では、どちらのDatabase Firewallインスタンスにもモニタリング・ポイントが構成されていないことを確認します。既存のモニタリング・ポイントがある場合は、それらを削除する必要があります。
- Oracle AVDFリリース20.6以降では、Database Firewallインスタンスと既存のモニタリング・ポイントのペアリングが可能です。
- Audit Vault Serverコンソールに管理者としてログインします。
- 「データベース・ファイアウォール」タブをクリックします。
- 左側のナビゲーション・メニューの「高可用性」を選択します。
- 「作成」をクリックします。
- 「回復可能なペアの作成」ダイアログで、ドロップダウン・リストから「プライマリ」フィールドおよび「スタンバイ」フィールドのDatabase Firewallインスタンスを選択します。
- 「保存」をクリックします。
- Oracle AVDF 20.6以降では、Database Firewallインスタンスのペアリング処理はバックグラウンド・ジョブです。Audit Vault Serverコンソールの「ジョブ」ダイアログを参照して、高可用性ペアリングのステータスを確認します。エントリ
Create DBFW resilient pair
に対してジョブを検索します。ペアリング処理が完了したら、「データベース・ファイアウォール」タブに移動し、左側のナビゲーション・メニューの「高可用性」タブに移動して、回復可能なペアを確認します。
9.3.3 プライマリDatabase FirewallとスタンバイDatabase Firewall間でのロールの入替え
高可用性でプライマリとスタンバイのDatabase Firewallインスタンスのロールを入れ替える方法を学習します。
9.3.5 モニタリング・ポイントを使用したDatabase Firewallインスタンスの高可用性の構成
モニタリング・ポイントを使用してDatabase Firewallインスタンスで高可用性を構成する方法を学習します。
Oracle AVDFリリース20.6以降では、指定されたプライマリDatabase Firewallインスタンスまたはスタンバイ・インスタンス、あるいはその両方にモニタリング・ポイントがある場合、これらのモニタリング・ポイントをペアにできます。指定されたプライマリ・インスタンス上の既存のモニタリング・ポイントは、ペアリング後にスタンバイDatabase Firewallインスタンスでレプリケートされます。同様に、指定されたスタンバイDatabase Firewallインスタンスの既存のモニタリング・ポイントは、ペアリング後にプライマリ・インスタンスでレプリケートされます。モニタリング・ポイントは回復可能なペア間で共有されます。
ターゲットの両方のDatabase Firewallインスタンスにモニタリング・ポイントがある場合、モニタリング・ポイントの構成データはマージされます。プライマリ・インスタンスのデータが優先されます。
ノート:
Oracle AVDF 20.6以降では、Database Firewallインスタンスは、モニタリング(ホスト監視)またはモニタリング(帯域外)モードの既存のモニタリング・ポイントとペアにできます。これは、モニタリング/ブロック(プロキシ)モードでデプロイされたDatabase Firewallインスタンスではサポートされていません。モニタリング/ブロック(プロキシ)モードでデプロイされたDatabase Firewallインスタンスを既存のモニタリング・ポイントとペアにしようとすると、エラーが表示されます。
モニタリング/ブロック(プロキシ)モードでは、回復可能なペアを作成できません。
9.4 プロキシ・モードでのDatabase Firewallの高可用性の構成
高可用性のモニタリング/ブロック(プロキシ)モード用にDatabase Firewallインスタンスを構成する方法を学習します。
Oracle AVDFには、モニタリング/ブロック(プロキシ)モードでデプロイされた複数のDatabase Firewallインスタンスに対して高可用性構成を設定するオプションがあります。これらの複数のインスタンスは、個別にインストールおよび構成されます。
前提条件
-
高可用性の一部であるすべてのDatabase Firewallインスタンスをインストールして登録します。
-
各Database Firewallインスタンスについて:
-
モニタリング・ポイントの構成は同一である必要があります。たとえば、Database Firewallインスタンス
DBFW1
とDBFW2
には同じ数のモニタリング・ポイントが必要であり、これらのモニタリング・ポイントの構成も同じである必要があります。 -
特定のターゲットに対して同じDatabase Firewallポリシーをデプロイします。たとえば、インスタンス
DBFW1
およびDBFW2
にDatabase FirewallポリシーP1
(ターゲットT1
の場合)をデプロイします。
-
プロキシ・モードでの高可用性構成は、次の方法で実現できます。
- Oracle Databaseのクライアント構成を使用
- Oracleおよびその他のデータベース・タイプでDNSを使用
9.4.1 クライアント構成によるプロキシ・モードでのDatabase Firewallの高可用性の構成
Oracle Databaseのtnsnames.ora
を使用して、プロキシ・モードで2つ以上のDatabase Firewallインスタンスの高可用性を構成する方法を学習します。
OCI (Oracle Call Interface)ベースのクライアントは、tnsnames.ora
ファイルを使用してOracle Databaseに接続します。このファイル内の次のパラメータは、この構成の一部として変更する必要があります。
-
ADDRESS_LIST
-
CONNECT_TIMEOUT
-
LOAD_BALANCE
ADDRESS_LIST
すべてのDatabase FirewallインスタンスのアドレスをADDRESS_LIST
に含めます。クライアント・プログラムは、最初のDatabase Firewallインスタンスに接続します。失敗した試行の場合は、クライアントは順番に次のインスタンスに接続します。
たとえば:
dbfw1=(DESCRIPTION=(ADDRESS_LIST=(ADDRESS=(PROTOCOL=TCP)(HOST=192.0.2.1)(PORT=1111))
(ADDRESS=(PROTOCOL=TCP)(HOST=192.0.2.2)(PORT=2222)))(CONNECT_DATA=(SERVICE_NAME=dbfwdb)))
説明:
dbfw1
はnet_service_name
と呼ばれます。
ホスト= 192.0.2.1
およびホスト= 192.0.2.2
は、高可用性用に構成されたDatabase FirewallインスタンスのIPアドレスです。
SQL*Plusクライアントを使用する場合は、次のコマンドを使用します。
sqlplus <username>/<password>@<net_service_name>
SQL*Plusクライアントは、IP 192.0.2.1
を使用して、最初のDatabase Firewallインスタンスへの接続を試みます。最初のインスタンスが停止しているかアクセスできない場合、クライアントはIPアドレス192.0.2.2
を持つ2番目のDatabase Firewallインスタンスへの接続を試みます。
CONNECT_TIMEOUT
CONNECT_TIMEOUT
(秒)パラメータを使用して、Database Firewallインスタンスが停止しているかどうかを迅速に検出します。
たとえば:
dbfw1=(DESCRIPTION=(CONNECT_TIMEOUT=10)(ADDRESS_LIST=(ADDRESS=(PROTOCOL=TCP)(HOST=192.0.2.1)(PORT=1111))(ADDRESS=(PROTOCOL=TCP)(HOST=192.0.2.2)(PORT=2222)))(CONNECT_DATA=(SERVICE_NAME=dbfwdb)))
クライアントは、IP 192.0.2.1
を使用して最初のDatabase Firewallインスタンスへの接続を試みます。最初のインスタンスが停止しているか、アクセスできない場合、クライアントはCONNECT_TIMEOUT
パラメータに指定された期間(秒)待機します。前述の例では10秒です。次に、クライアントは、IPアドレス192.0.2.2
を使用して2番目のDatabase Firewallインスタンスへの接続を試みます。
ノート:
- デフォルトでは、
CONNECT_TIMEOUT
の値は60秒です。 - 詳細は、『Oracle Database Net Services管理者ガイド』を参照してください。
LOAD_BALANCE
LOAD_BALANCE
パラメータを使用して、クライアント接続でランダムな順序でDatabase Firewallインスタンスに接続します。
たとえば:
dbfw1=(DESCRIPTION=(ADDRESS_LIST=(LOAD_BALANCE=on)(ADDRESS=(PROTOCOL=TCP)(HOST=192.0.2.1)(PORT=1111))(ADDRESS=(PROTOCOL=TCP)(HOST=192.0.2.2)(PORT=2222)))(CONNECT_DATA=(SERVICE_NAME=dbfwdb)))
ここで、クライアントはランダムな順序で192.0.2.1
または192.0.2.2
に接続します。
ノート:
on
に設定すると、LOAD_BALANCE
パラメータは、Database Firewallアドレスのリストをランダムな順序で処理するようにクライアントに指示します。off
に設定すると、クライアントは成功するまでアドレスを順番に試行します。- 詳細は、『Oracle Database Net Services管理者ガイド』を参照してください。
9.4.2 DNSを使用したプロキシ・モードでのDatabase Firewallの高可用性の構成
Oracleおよびその他のデータベース・タイプのDNSを使用して、モニタリング/ブロック(プロキシ)モードで複数のDatabase Firewallインスタンスの高可用性を構成する方法を学習します。
前提条件
-
Database Firewallインスタンスをインストールして登録します。
-
各Database Firewallインスタンスについて:
-
モニタリング・ポイントの構成は同一である必要があります。たとえば、Database Firewallインスタンス
DBFW1
とDBFW2
には同じ数のモニタリング・ポイントが必要であり、これらのモニタリング・ポイントの構成も同じである必要があります。 -
特定のターゲットに対して同じDatabase Firewallポリシーをデプロイします。たとえば、インスタンス
DBFW1
およびDBFW2
にDatabase FirewallポリシーP1
(ターゲットT1
の場合)をデプロイします。
-
-
クライアント・プログラムは、構成されたDNSサーバーに接続できる必要があります。
DNSでの完全修飾ドメイン名の設定
-
Database FirewallインスタンスのIPアドレスを表す完全修飾ドメイン名を作成します。
-
選択したDNSサーバーをクライアント・ホスト上の名前解決サーバーとして構成します。
-
クライアントは、接続文字列の完全修飾ドメイン名を使用してDatabase Firewallインスタンスに接続する必要があります。
-
たとえば、SQL*Plusを使用している場合は、次のステップに従います。
- SQL*Plus接続をユーザー名またはパスワードなしで
sqlplus /nolog
として開始します。 - コマンド
connect <username>/<password>@<fully qualified domain name>:<port/service>
を実行します。
- SQL*Plus接続をユーザー名またはパスワードなしで
-
DNSは、次のいずれかの方法で構成できます。
- Database Firewallインスタンスの順序付きリスト(
DBFW1
、DBFW2
など)に常に接続するようにDNSを構成します。クライアントが最初のインスタンス(DBFW1
)に接続できない場合、2番目のインスタンス(DBFW2
)への接続が試みられます。 - Database Firewallインスタンスへの接続にラウンドロビン・アルゴリズムを使用するようにDNSを構成します。
- Database Firewallインスタンスの順序付きリスト(