5.3.1 X7以降のシステム向けのPXEブートによる自動実行のSecure Eraser
この手順では、Oracle Exadata X7-2以降のノードの再起動時に、Secure Eraserを自動的に実行するように構成します。
ノート:
Oracle Exadata System Softwareリリース19.1.0以降、Secure Eraserパッケージ(secureeraser_label.zip)にはNFSイメージではなくISOイメージが含まれています。
始める前に:
-
システムで入手可能な最新のSecure Eraserパッケージをダウンロードしてインストールします。
Secure Eraserパッケージをダウンロードするには、現在のOracle Exadata System Softwareバージョンに関連付けられた補足Readmeを確認します。各Oracle Exadata System Softwareバージョンに関連付けられた補足Readmeを見つけるには、『Exadata Database Machine and Exadata Storage Server Supported Versions』(My Oracle SupportドキュメントID 888828.1)を参照してください。
-
消去するノードを起動可能なPreboot Execution Environment (PXE)サーバーにアクセスできることを確認します。
-
消去するすべてのノードからアクセスできるNFSサーバーにアクセスできることを確認します。
-
消去するノードのいずれかにアクセスできることを確認します。
-
PXEイメージ・ファイルのinitrd (
initrd-<version>)とカーネル(vmlinux-<version>)をSecure EraserパッケージからPXEサーバーの/tftpbootディレクトリにコピーします。 -
消去するデータベース・サーバーおよびストレージ・サーバーの名前を含むファイルを作成します。
このファイルを生成するため、消去するいずれかのノードで次のコマンドを実行し、ファイル内のノードが消去するノードであることを確認します。
# ibhosts | awk '/S [0-9\.\,]*/ || /C [0-9\.\,]*/ {print $6}' | sed "s/\"//g" > nodes_to_be_erased1台のサーバーのみを消去する場合は、
Exa01celadm04など、サーバーの名前をnodes_to_be_erasedファイルに入力します。 -
Secure Eraserパッケージの
dcliユーティリティとステップ2で生成されたnodes_to_be_erasedファイルをPXEサーバーにコピーします。 -
pxe_cfg.templateという名前のPXE構成テンプレートを作成し、次の行を含めます。ノート:
次の例では、ご使用の環境に合わせて次のパラメータを更新する必要があります。
kernel(vmlinuxファイル)initrd(initrd*.imgファイル)logpath
-
Oracle Exadata System Software 18c (18.1.0)の場合:
set default 0 set timeout=10 menuentry 'ExadataLinux' { echo "Loading efi/vmlinuz" linuxefi efi/vmlinux-nfs-18.1.0.0.0-170915.1 dhcp pxe boot-from=uefi quiet loglevel=0 secureeraser bootarea=diagnostics console=ttyS0,115200n8 logpath=10.133.42.221:/export/exadata_secure_eraser_certificate_dir echo "Loading efi/initrd.img" initrdefi efi/initrd-nfs-18.1.0.0.0-170915.1.img echo "Booting installation kernel" } -
Oracle Exadata System Softwareリリース19.1.0以上の場合:
set default 0 set timeout=10 menuentry 'ExadataLinux' { echo "Loading efi/vmlinuz" linuxefi efi/vmlinux-iso-19.1.2.0.0-190111 dhcp pxe boot-from=uefi quiet loglevel=0 secureeraser bootarea=diagnostics console=ttyS0,115200n8 logpath=10.133.42.221:/export/exadata_secure_eraser_certificate_dir echo "Loading efi/initrd.img" initrdefi efi/initrd-iso-19.1.2.0.0-190111.img echo "Booting installation kernel" }
-
1行目(
default)は、2行目で指定したタイムアウト値の後にデフォルトで選択する必要がある、メニュー・エントリを識別します。 -
3行目(
menuentry)は、Secure Eraser環境で使用するLinuxカーネルを表します。 -
5行目(
linuxefi)は、カーネルがUEFIベースのシステム上にあることを示します。linuxefi文は、構成ファイル内の1行で指定する必要があります。-
dhcpオプションは、DHCPを使用してeth0インタフェースを検出することを指定します。 -
pxeオプションは、仮想CDおよびUSBデバイスでのイメージの検索を抑制します。 -
boot-from=uefiオプションは、システムがUEFIから起動されていることを示します。 -
quietオプションは、過度のカーネル・ログ・メッセージを無効にします。 -
loglevel=0オプションは、重要でないカーネル・メッセージを抑制します。 -
secureeraserオプションは、PXEブートによってSecure Eraserユーティリティが自動的に起動され、ハード・ドライブ、フラッシュ・デバイス、永続メモリー、内部USB、ILOMを含む、ノードにインストールされたすべてのメディアがサニタイズされることを示します。 -
bootareaオプションは、ブート・モードがimaging installやrescueではなくdiagnosticであることを示します。 -
consoleオプションは、標準出力および標準エラー・メッセージがILOM Webコンソールとシリアル・コンソールの両方に出力されることを示します。 -
logpathオプションは、Secure Eraserが証明書を保存するNFS共有ディレクトリを指定します。
-
-
7行目(
initrdefi)は、ロードするinitrdファイルを指定します。ここでは、ステップ1でコピーしたinitrdファイルです。
前述の例のデフォルトでは、Secure Eraserはすべてのコンポーネントを消去します。
secureeraser-optionsを使用してSecure Eraserのコマンドライン・オプションを指定することで、デフォルトの動作を変更し、特定のコンポーネントのみを安全に消去できます。たとえば、PXEブート時にハード・ドライブおよびUSBのみを消去するには、Oracle Exadata Database Machine X7以降のシステムでgrub2/セキュア・ブートの場合のテンプレートは次のようになります。ノート:
次の例では、ご使用の環境に合わせて次のパラメータを更新する必要があります。
kernel(vmlinuxファイル)initrd(initrd*imgファイル)logpath
-
Oracle Exadata System Software 18c (18.1.0)の場合:
set default 0 set timeout=10 menuentry 'ExadataLinux' { echo "Loading efi/vmlinuz" linuxefi efi/vmlinux-nfs-18.1.0.0.0-170915.1 stit dhcp pxe boot-from= uefi quiet loglevel=0 secureeraser secureeraser-options="--hdd --usb" bootarea=diagnostics console=ttyS0,115200n8 logpath=10.133.42 .221:/export/exadata_secure_eraser_certificate_dir echo "Loading efi/initrd.img" initrdefi efi/initrd-nfs-18.1.0.0.0-170915.1.img echo "Booting installation kernel" } -
Oracle Exadata System Softwareリリース19.1.0以上の場合:
set default 0 set timeout=10 menuentry 'ExadataLinux' { echo "Loading efi/vmlinuz" linuxefi efi/vmlinux-iso-19.1.2.0.0-190111 stit dhcp pxe boot-from= uefi quiet loglevel=0 secureeraser secureeraser-options="--hdd --usb" bootarea=diagnostics console=ttyS0,115200n8 logpath=10.133.42 .221:/export/exadata_secure_eraser_certificate_dir echo "Loading efi/initrd.img" initrdefi efi/initrd-iso-19.1.2.0.0-190111.img echo "Booting installation kernel" }
-
PXEサーバーでテンプレート・ファイルを使用して、消去する各ノードの
/tftpboot/pxelinux.cfg/ディレクトリにPXE構成ファイルを作成します。PXE構成ファイルの名前は、ノードのダッシュ区切り形式のMACアドレスに接頭辞
01-を付けたものです。消去するノードにアクセスできる場合は、次のステップを使用して、各ノードのPXE構成ファイルをテンプレートに基づいて自動的に生成します。
-
PXEサーバーから消去するノードにSSH等価を設定します。このコマンドを実行すると、各ノードの
rootパスワードの入力が要求されます。pxe_server# dcli -g nodes_to_be_erased -k -l root -
構成テンプレートに基づいて、消去するノードごとに1つずつのPXE構成ファイルを作成します。
pxe_server# dcli -g nodes_to_be_erased -l root "ip addr show eth0" | awk '/link\/ether/ {print "01:"$3}' | sed "s/:/-/g" | xargs -I {} cp pxe_cfg.template {}
消去するノードにアクセスできない場合は、次のステップを使用して、消去する各ノードのPXE構成ファイルを生成します。
-
各ノードのeth0インタフェースのMACアドレスを手動で収集し、それらを
mac_addressesという名前のテキスト・ファイルに書き込みます。1行に1つのMACアドレスを記述します。次に例を示します:00:10:e0:62:c4:fa 00:10:e0:62:c2:8a 00:10:e0:62:b8:7c 00:10:e0:62:b8:3a 00:10:e0:62:c6:bc -
次のコマンドを使用して、構成テンプレートに基づいて消去するノードごとに1つずつのPXE構成ファイルのリストを作成します。
pxe_server# cat mac_addresses | sed "s/:/-/g;s/^/01-/g" | xargs -I {} cp pxe_cfg.template {}
どちらの場合も、消去するノードごとに1つずつのPXE構成ファイルのリストが作成されます。たとえば、クオータ・ラック内のノードのMACアドレスが00:10:e0:62:c4:fa、00:10:e0:62:c2:8a、00:10:e0:62:b8:7c、00:10:e0:62:b8:3aおよび00:10:e0:62:c6:bcである場合は、次のファイルが作成されます。
01-00-10-e0-62-c4-fa 01-00-10-e0-62-c2-8a 01-00-10-e0-62-b8-7c 01-00-10-e0-62-b8-3a 01-00-10-e0-62-c6-bc各ファイルの内容は構成テンプレートと同じです。
PXEサーバーの要件を確認します。使用するPXEサーバーによっては、必要な名前や設定が若干異なる場合があります。
-
-
PXEから起動するようにノードを構成し、ノードを再起動します。
消去するノードにアクセスできる場合は、次のコマンドを実行します。
pxe_server# dcli -g nodes_to_be_erased -l root "ipmitool chassis bootdev pxe” pxe_server# dcli -g nodes_to_be_erased -l root "reboot”消去するノードにリモートからアクセスできないが、ILOMにリモートからアクセスできる場合は、次のステップに従います
-
ILOMの名前を含む
iloms_to_be_resetという名前のファイルを作成します。次に例を示します:db1-ilom db2-ilom cell1-ilom cell2-ilom cell3-ilom -
ILOMを使用して、PXEから起動するようにノードを構成します。このコマンドを実行すると、ILOMのrootパスワードの入力が要求されます。
pxe_server# cat iloms_to_be_reset | xargs -I {} ipmitool -I lanplus -H {} -U root chassis bootdev pxe -
ILOMからノードを再起動します。このコマンドを実行すると、ILOMのrootパスワードの入力が要求されます。
pxe_server# cat iloms_to_be_reset | xargs -I {} ipmitool -I lanplus -H {} -U root chassis power cycle
ホストにもILOMにもリモートからアクセスできない場合は、シリアル・コンソールを使用してILOMにログインし、次のコマンドを実行します
ILOM> set /HOST/boot_device=pxe ILOM> reset /SYS -
-
Secure Eraserユーティリティが自動的に呼び出され、ハード・ドライブ、フラッシュ・デバイス、永続メモリー、内部USBを含む、インストールされたすべてのストレージ・メディアがサニタイズされ、すべてのノードのILOMが並行して出荷時のデフォルトにリセットされます。
Secure Eraserは、指定された
logpathの場所にsecureeraser_node_chassis_number_date_time.certificateという名前のファイルを作成します。node_chassis_numberは、CellCLIまたはDBMCLIでのストレージ・サーバーまたはデータベース・サーバーのID属性です。このファイルには、10秒ごとに更新される進捗状況レポートが格納されます。進捗状況レポートは、各ノードのコンソールにも出力されます。次に、進捗状況レポートの例を示します。
ID Type Model Serial Number Size Status 1 Flash Flash Accel F640 PCIe Card v2 PHLN8BQ6P4EGN-1 2.91TB To Be Erased (0%) 2 Flash Flash Accel F640 PCIe Card v2 PHLN8BQ6P4EGN-2 2.91TB To Be Erased (0%) 3 Flash Flash Accel F640 PCIe Card v2 PHLN8BL6P4EGN-2 2.91TB To Be Erased (0%) 4 Flash Flash Accel F640 PCIe Card v2 PHLN8AX6P4EGN-1 2.91TB To Be Erased (0%) 5 Flash Flash Accel F640 PCIe Card v2 PHLN8AX6P4EGN-2 2.91TB To Be Erased (0%) 6 Flash Flash Accel F640 PCIe Card v2 PHLN88S6P4EGN-1 2.91TB To Be Erased (0%) 7 Flash Flash Accel F640 PCIe Card v2 PHLN8DQ6P4EGN-1 2.91TB To Be Erased (0%) 8 Flash Flash Accel F640 PCIe Card v2 PHLN88S6P4EGN-2 2.91TB To Be Erased (0%) 9 Flash Flash Accel F640 PCIe Card v2 PHLN88G6P4EGN-1 2.91TB To Be Erased (0%) 10 Flash Flash Accel F640 PCIe Card v2 PHLN8BL6P4EGN-1 2.91TB To Be Erased (0%) 11 Flash Flash Accel F640 PCIe Card v2 PHLN88W6P4EGN-2 2.91TB To Be Erased (0%) 12 Flash Flash Accel F640 PCIe Card v2 PHLN88W6P4EGN-1 2.91TB To Be Erased (0%) 13 Flash Flash Accel F640 PCIe Card v2 PHLN89F6P4EGN-2 2.91TB To Be Erased (0%) 14 Flash Flash Accel F640 PCIe Card v2 PHLN8DQ6P4EGN-2 2.91TB To Be Erased (0%) 15 Flash Flash Accel F640 PCIe Card v2 PHLN89F6P4EGN-1 2.91TB To Be Erased (0%) 16 Flash Flash Accel F640 PCIe Card v2 PHLN88G6P4EGN-2 2.91TB To Be Erased (0%) 17 M.2 INTEL SSDSCKKB24 PHYH88H240J 139.69GB To Be Erased (0%) 18 M.2 INTEL SSDSCKKB24 PHYH84060035240J 139.69GB To Be Erased (0%) 19 PM NMA1XBD128GQS 8089-a2-0000028a 126.37GB To Be Erased (0%) 20 PM NMA1XBD128GQS 8089-a2-000002f4 126.37GB To Be Erased (0%) 21 PM NMA1XBD128GQS 8089-a2-000009d9 126.37GB To Be Erased (0%) 22 PM NMA1XBD128GQS 8089-a2-00000a27 126.37GB To Be Erased (0%) 23 PM NMA1XBD128GQS 8089-a2-00000231 126.37GB To Be Erased (0%) 24 PM NMA1XBD128GQS 8089-a2-0000039e 126.37GB To Be Erased (0%) 25 PM NMA1XBD128GQS 8089-a2-000006be 126.37GB To Be Erased (0%) 26 PM NMA1XBD128GQS 8089-a2-00000916 126.37GB To Be Erased (0%) 27 PM NMA1XBD128GQS 8089-a2-00000105 126.37GB To Be Erased (0%) 28 PM NMA1XBD128GQS 8089-a2-00000216 126.37GB Being Erased (0%) 29 PM NMA1XBD128GQS 8089-a2-00000151 126.37GB Being Erased (0%) 30 PM NMA1XBD128GQS 8089-a2-000002f5 126.37GB To Be Erased (0%) 31 ILOM 1824XCA004 To Be Reset進捗状況レポートの例が示すように、Secure Eraserはすべてのストレージ・デバイスを並行して消去します。ストレージ・デバイスが安全に消去された後、Secure EraserはILOMを出荷時のデフォルトにリセットします。これにより、一部のストレージ・デバイスでセキュア消去が失敗した場合でも、Webコンソールにアクセスしてリモート・デバッグを実行したり、ILOMにアクセスしてホストを制御できます。
セキュア消去が完了すると、ステップ4の
logpathオプションで指定したNFS共有の場所にsecureeraser_node_chassis_number_date_time.certificate.pdfという名前の証明書が生成されます。セキュア消去が成功した場合、そのノードは自動的に停止されます。一部のコンポーネントでSecure Eraserの処理が失敗した場合、そのノードは詳細なデバッグのため診断シェルに残されます。前述のすべてのステップが成功し、問題が解決した場合は、ステップ6に戻ってSecure Eraserを再実行できます。
関連トピック
親トピック: PXEブートによる自動実行のSecure Eraser