12 リカバリ・アプライアンスの保護
この章では、リカバリ・アプライアンスをセキュアに保つためのポリシーおよび手順について説明します。
ハードウェアの保護
Oracle Zero Data Loss Recovery Applianceのインストール後、ハードウェアを保護する必要があります。
ハードウェアは、ハードウェアへのアクセスを制限し、シリアル番号を記録することによって保護できます。アクセスを制限する措置として、次のことをお薦めします。
-
Oracle Zero Data Loss Recovery Applianceと関連機器をアクセスが制限された鍵の掛かった部屋に設置します。
-
ラック内のコンポーネントでサービスが必要でない場合は、ラックのドアに鍵を掛けます。
-
コンポーネントは設計によって容易に削除できるため、ホットプラガブル対応またはホットスワップ対応デバイスへのアクセスを制限します。参照
-
予備の現場交換可能ユニット(FRU)または顧客交換可能ユニット(CRU)は鍵の掛かったキャビネットに保管します。鍵の掛かったキャビネットへは、認可された人のみがアクセスできるように制限します。
-
すべての主要なコンピュータ・ハードウェア項目(FRUなど)にマークを付けます。
-
ハードウェアのアクティベーション・キーとライセンスは、システム緊急時にシステム・マネージャが簡単に取り出せる安全な場所に保管します。
-
Oracle Zero Data Loss Recovery Applianceのコンポーネントのシリアル番号を記録し、セキュアな場所にレコードを保持します。Oracle Zero Data Loss Recovery Applianceのすべてのコンポーネントにはシリアル番号があります。
ソフトウェアの保護
多くの場合、ハードウェアのセキュリティは、ソフトウェアを通じて実装されます。
ソフトウェアとハードウェアを保護するには、次のガイドラインを実施します。
-
サイトでシステムをインストールしたときに、すべてのデフォルトのパスワードを変更してください。リカバリ・アプライアンスは、初期インストールとデプロイメントに、よく知られたデフォルトのパスワードを使用します。デフォルトのパスワードでは、装置に不正にアクセスできる可能性があります。ネットワーク・スイッチなどのデバイスには、複数のユーザー・アカウントが設定されています。必ずラック内のコンポーネントのすべてのアカウント・パスワードを変更します。
-
rootスーパーユーザー・アカウントの使用を制限します。可能な場合は、non-rootアクセスを使用します。Integrated Lights Out Manager (ILOM)ユーザー・アカウントを各ユーザーに作成および使用して、監査証跡での積極的な識別を可能にし、管理者がチームまたは会社を離れた場合のメンテナンスを軽減します。 -
USBポート、ネットワーク・ポートおよびシステム・コンソールへの物理的なアクセスを制限します。サーバーおよびネットワーク・スイッチには、システムに直接アクセスできるポートおよびコンソール接続があります。
-
ネットワークを介してシステムを再起動する機能を制限します。
-
ホストの管理に
admin_userという名前のユーザーを作成します。 -
直接のrootアクセスおよびoracleアクセスを無効にします。
-
管理およびモニタリング用に
db_userという名前のユーザーを作成します。 -
リモート
sysアクセスを無効にします。 -
リモート
rasysアクセスを無効にします。
TLSの概要
リカバリ・アプライアンスとクライアントの間のTLSの構成。
データベース・サーバー(クライアント)からリカバリ・アプライアンスへのTLS暗号化トランスポートを実装する場合は、リカバリ・アプライアンスを調整する前にクライアントを準備します。
クライアントでのTLSデータ・セキュリティの構成
この項では、クライアントでのTLSデータ・セキュリティの構成に必要なステップについて説明します。
クライアントでは、TLSをサポートするためにいくつかの変更が必要です。リカバリ・アプライアンスでは、デュアル・モードhttp/httpsのhttps暗号化を使用(暗号化httpを使用しない)できます(デフォルト)。
保護されたデータベースの構成によるTLSのサポート
TLS以外の使用を継続する場合は、CONFIGURE CHANNEL DEVICE TYPE "_RA_NO_SSL=TRUE"に追加してRMAN設定を更新します
CONFIGURE CHANNEL DEVICE TYPE
'SBT_TAPE' PARMS
'SBT_LIBRARY=/u01/app/oracle/product/19.0.0.0/dbhome_1/lib/libra.so,
ENV=(_RA_NO_SSL=TRUE,RA_WALLET=location=file:/<path>
credential_alias=RADB01,_RA_TRACE_LEVEL=1000)' FORMAT '%U_%d'; TLSの使用を開始する場合は、次のステップを実行する必要があります。
-
リカバリ・アプライアンスのホストからTCPS別名(例:
zdlra_tcps)を検索し、クライアント・データベースのtnsnames.oraファイルにコピーします。 -
ウォレットを更新するか、前のウォレットが
mkstoreによって作成された場合は新しいウォレットを作成します。orapkiを使用して新しいウォレットを作成します。たとえば:orapki wallet create -wallet $ORACLE_HOME/dbs/Sydney -
リカバリ・アプライアンスのホストからクライアント・データベースに
raCA.pemをコピーし、前述のステップで作成または更新したウォレットにインポートします。orapki wallet add -wallet $ORACLE_HOME/dbs/sydney -trusted_cert -cert $ORACLE_HOME/dbs/sydney/raCA.pem -
ウォレットを
-auto_loginに更新します。orapki wallet create -wallet $ORACLE_HOME/dbs/sydney -auto_login -
新しい別名TCPSおよび
ravpcユーザーを使用して資格証明を作成しますmkstore -wrl /u01/app/oracle/product/19.0.0.0/dbhome_1/dbs/sydney -createCredential zdlra7_tcps ravpc welcome123 -
RMANに接続し、ウォレット情報を追加する"
CONFIGURE CHANNEL DEVICE"を更新しますrman target / catalog ravpc/welcome123@zdlra7_tcps
TLS使用の検証
次のコマンドは、様々なTLSオブジェクトのモニタリングに役立ちます。
- racli run check --check_name=tls_health
- racli run diagnostics --tag=tls
- racli run diagnostics --tag=tls_high
リカバリ・アプライアンスでのTLSデータ・セキュリティの構成
この項では、リカバリ・アプライアンスでTLSデータ・セキュリティを構成するステップについて説明します。
RACLIコマンドはTLS (トランスポート層セキュリティ)を構成します。リカバリ・アプライアンスでは、デュアル・モードhttp/httpsのhttps暗号化を使用(暗号化httpを使用しない)できます(デフォルト)。
ノート:
自己署名証明書は長期間使用したり、本番用に使用しないでください。認証局によって署名された証明書を使用することをお薦めします。ポート番号はカスタマイズできます。暗号化のデフォルト・ポートは次のとおりです。
- TCPS: 2484
- HTTPS: 8002
- REPL_TCPS: 2485
暗号化されていない操作のデフォルト・ポートは次のとおりです。
- TCP: 1521
- HTTP: 8001
- REPL_TCP: 1522
証明書の作成およびウォレットへのインポート
-
通信の保護に使用する証明書を作成します。署名付き証明書、信頼証明書、またはその両方を一度に作成できます。
racli create certificate –-country=<VALUE> –-state=<VALUE> --location=<VALUE> –-organization=<VALUE> –-organization_unit=<VALUE> –-email_address=<VALUE> [ –-trusted_cert_valid=<VALUE> ][ –-signed_cert_valid=<VALUE> ]オプションの
–-trusted_cert_validは、信頼できる証明書の検証日数を指定します。デフォルト値は3650日(10年)です。オプションの
–-signed_cert_validは、署名付き証明書の検証日数を指定します。デフォルト値は365日(1年)です。ノート:
–-signed_cert_validは、–-trusted_cert_validより大きくできません。 -
ウォレットに証明書をインポートします。
racli add certificate { [--trusted_cert=<VALUE>] | [--signed_cert=<VALUE>] | [--self-signed]オプションの
--trusted_certは、root/署名チェーンのフルパスを指定します。たとえば--trusted_cert=/radump/abc/raCA.pemオプションの
--signed_certは、信頼できるストア内の署名付き証明書のフルパスを指定します。オプションの
--self-signedは、リカバリ・アプライアンスが指定した場所から両方の証明書を検索することを指定します。これは、"racli create certificate"で作成された証明書に最も適しています。 -
証明書が使用可能であることを確認します。
racli list certificateこれにより、
raa_certsデータベース表のすべての信頼できる証明書と署名付き証明書のリストが表示されます。
リカバリ・アプライアンスでのTLS暗号化の有効化
racli alter networkコマンドは、TCPSとHTTPS、およびTCPとHTTPを構成します。これには3つの暗号化操作モードがあります。
-
TLS暗号化の有効化: これはデュアル・モードTCP/TCPSおよびHTTP/HTTPSを有効にし、特に指定のないかぎりデフォルト・ポートを使用します。
racli alter network -–service=ra_server –-encrypt=enable [ --tcps_port=<VALUE> ] [ --https_port=<VALUE> ] [ --repl_tcps_port=<VALUE> ] -
TLS暗号化の無効化: TCPおよびHTTPを有効にし、特に指定のないかぎりデフォルト・ポートを使用します。
racli alter network -–service=ra_server –-encrypt=disable [ --tcp_port=<VALUE> ] [ --http_port=<VALUE> ] [ --repl_tcp_port=<VALUE> ] -
TLS暗号化のみ有効化: TCPSおよびHTTPSのみを有効にします。TCPおよびHTTPは無効になっています。特に指定がないかぎり、デフォルト・ポートが使用されます。
racli alter network -–service=ra_server –-encrypt=only [ --tcps_port=<VALUE> ] [ --https_port=<VALUE> ] [ --repl_tcps_port=<VALUE> ]
TLS使用の検証
次のコマンドは、様々なTLSオブジェクトのモニタリングに役立ちます。
- racli run check --check_name=tls_health
- racli run diagnostics --tag=tls
- racli run diagnostics --tag=tls_high
セキュアな環境の維持
セキュリティ措置を実装した後、それらを維持してシステムをセキュアに保つ必要があります。
ソフトウェア、ハードウェアおよびユーザー・アクセスを定期的に更新およびレビューする必要があります。たとえば、組織はリカバリ・アプライアンスにアクセスできるユーザーおよび管理者を確認し、アクセスおよび権限のレベルが適切であるかどうかを確認する必要があります。レビューしない場合、ロールの変更やデフォルト設定の変更によって、個人に付与されたアクセス・レベルが意図せず高くなることがあります。操作および管理タスクのアクセス権をレビューして、各ユーザーのアクセス・レベルがロールおよび職責に合わせて調整されていることを確認してください。
リカバリ・アプライアンス環境のユーザー・アカウントに関する項を参照してください。
組織で未認可の変更や構成のずれを検出するツールを活用し、セキュリティ・アップデートの準備を整えることをお薦めします。Oracle Enterprise Managerは、ハードウェア、デプロイされたアプリケーションおよびサービスの操作の問題に対処する統合されたソリューションを提供します。
ネットワーク・セキュリティのメンテナンス
システムへのローカル・アクセスとリモート・アクセスのセキュリティを確保するために、次のガイドラインに従ってください。
-
ネットワーク・スイッチの構成ファイルはオフラインで管理し、構成ファイルへのアクセスは認可された管理者のみに制限する必要があります。構成ファイルには各設定の説明がコメントとして含まれています。構成ファイルの静的コピーをソース・コード制御システムに保持することを検討してください。
ネットワーク・スイッチの構成の詳細は、ネットワーク・スイッチのベンダーのドキュメントを参照してください。
-
クライアント・アクセス・ネットワークを確認して、セキュアなホストおよびIntegrated Lights Out Manager (ILOM)設定が有効であることを確認します。設定を定期的に確認して、変更されていないことを確認します。
-
認証局の署名付き証明書のみを使用します。
-
拡張セッションのタイムアウトを設定し、特権レベルを設定します。
-
ネットワーク・スイッチへのローカル・アクセスとリモート・アクセスには、認証、認可、アカウンティング(AAA)機能を使用します。
-
侵入検知システム(IDS)のアクセスには、スイッチのポートのミラー化/スイッチ・ポート・アナライザ(SPAN)機能を使用します。
-
MACアドレス(MAC ACL)に基づいてアクセスを制限するには、ポート・セキュリティを実装します。
-
最小限のパスワードの複雑度ルールとパスワードの有効期限ポリシーを設定することによって、ユーザーに強力なパスワードを使用することを要求します。
-
ロギングを有効にし、専用のセキュアなログ・ホストにログを送信します。
-
NTPおよびタイムスタンプを使用して正確な時間情報を含めるようにロギングを構成します。
-
可能性があるインシデントをログで確認し、組織のセキュリティ・ポリシーに従ってそれらをアーカイブします。