EMC Navisphere Secure Command Line Interface

Transcription

1 EMC Navisphere Secure Command Line Interface US ホワイトペーパー翻訳版 要約 このホワイト ペーパーは Secure CLI の概要 Classic CLI および Java CLI からの変換 Secure CLI の制限など EMC Navisphere Secure CLI( コマンド ライン インタフェース ) について詳しく説明しています 2008 年 9 月

2 Copyright 2004, 2007, 2008 EMC Corporation. 不許複製 EMC Corporation は この資料に記載される情報が 発効日時点で正確であるとみなします 情報は予告なく変更されることがあります この資料に記載されている情報は 現状有姿 の条件で提供されます EMC Corporation は この資料に記載される情報に関する どのような内容についても表明保証条項を設けず 特に 商品性や特定の目的に対する適応性に対するいかなる保証もいたしません この資料に記載される いかなる EMC ソフトウェアの使用 複製 頒布も 当該ソフトウェア ライセンスが必要です 最新の EMC 製品名については EMC.com で EMC Corporation の商標を参照してください 他のすべての名称ならびに製品についての商標は それぞれの所有者の商標または登録商標です パーツ番号 H J 1

3 目次 エグゼクティブ サマリー...3 はじめに...3 対象読者... 3 Navisphere CLI の概要...3 Classic CLI... 4 Java CLI... 4 Secure CLI... 4 Secure CLI の詳細...5 Secure CLI とストレージ システム間の通信... 5 セキュリティ認証... 5 解析出力... 6 既存のお客様への影響...7 必要なスクリプトの変更... 7 有効なセキュリティ認証の設定... 7 Secure CLI の制限事項...8 FLARE リリース 19 の要件... 8 現在 Secure CLI でサポートされていないコマンド... 8 結論...9 付録 :Navisphere Management Suite のホワイト ペーパー ガイド

4 エグゼクティブ サマリー Navisphere Management Suite は CLARiX ストレージ システムを構成 管理 監視するソフトウェアの集まりです このホワイト ペーパーは Navisphere CLI パッケージ内で実行可能な Secure CLI( コマンド ライン インタフェース ) の詳細について取り扱っており 以前の CLI の実行可能プログラム 使用方法 CLI とストレージ間におけるシステムでのやり取り 既存のカスタマーへの影響 制限事項に関連して Secure CLI について説明しています はじめに Navisphere Management Suite では CLARiX ストレージ システムを構成 管理 保守する複数の方法を提供しています Navisphere Manager UI ウェブベースのグラフィック ユーザー インタフェース アプリケーション Navisphere Express AX シリーズ ストレージ システム用のウェブベースのグラフィック ユーザー インタフェース アプリケーション Navisphere Secure CLI コマンド ライン インタフェース アプリケーション Navisphere Manager UI が ストレージ システムのオブジェクトベースのビューを提供することで ユーザーは RAID グループの作成や LUN のバインディングなどの管理操作を別々に行えます また UI にはウィザード機能も含まれており ユーザーは複数の手順を通じて metalun の作成 LUN マイグレーション ソフトウェアのアップグレードなど より複雑なタスクも行えます Navisphere Express が提供する AX シリーズ ストレージ システムのタスク指向のビューによって ユーザーはストレージ システム セットアップとストレージ割り当てを可能にします Navisphere Secure CLI を使用するとユーザーは グラフィック インタフェースがなくても Navisphere Manager UI に類似した管理操作を実行できます コマンドを実行すると それぞれの結果はコマンド プロンプトに返されます Secure CLI には ビルドインされたウィザードはありませんが 複数の CLI コマンドを合わせることによってスクリプトを書き込むことで 同様の機能を実行することができます さらに スクリプトはユーザーが介入する必要なく ストレージ システム構成を自動化するのに使用できます 対象読者 このホワイト ペーパーは Navisphere Secure CLI の使用方法について詳細な情報を必要とする EMC のお客様 パートナー 従業員を対象にしています また 読者には CLI コマンドのシンタックスに精通していること Navisphere 6.x アーキテクチャおよびセキュリティ モデルについての知識を持っていることが求められます このホワイト ペーパーでは CLI コマンドの例を提示してはいますが 特定のシンタックスについては詳述していません すべての CLI コマンドに関する完全な説明については EMC Navisphere Command Line Interface Reference マニュアルを参照してください Navisphere CLI の概要 コマンド ライン インタフェース アプリケーションは 数世代にわたる CLARiX ストレージ システムの Navisphere Management Suite の重要部分でした 3 つの異なる CLI 実行可能プログラムは 機能性の向上とお客様のフィードバックに基づいて導入されました ここでは 最新 3

5 の実行可能プログラムである Secure CLI に焦点を当てると共に 以前の 2 つの実行可能プログラムである Classic CLI と Java CLI についても扱います したがって Secure CLI と比較するためにそれぞれの実行可能プログラムの簡単な説明を以下に示します Classic CLI Classic CLI は Navisphere 環境がお客様に提供された最初のコマンド ライン インタフェースです 実行可能名は navicli です この実行可能プログラムは 基本的なストレージ構成と管理コマンドを提供しており C++ プログラミング言語で実装されています Classic CLI は ポート 6389 上の SP Agent と直接通信して 組み込み型の許可と認証セキュリティ機構を備えています Java CLI Java CLI は Navisphere 6.x アーキテクチャの一部として導入され 実行可能プログラム名は navicli.jar です Navisphere 6.x は 認証 暗号化 監査ログなど複数の新規セキュリティ機構を CLARiX/Navisphere 環境 1 に実装させるための堅牢なアーキテクチャです この CLI 実行可能プログラムは Java プログラミング言語で実装され Java Runtime Environment (JRE) がクライアント マシンにインストールされている必要があります Java CLI はポート 443( または 2163) 上の Navisphere Management Server と通信します Java CLI コマンドは metalun Dynamic Volume Migration(DVM) SnapView クローン MirrorView アナライザなど Navisphere 6.0 以降に導入されたストレージ システム機能のみをサポートします Secure CLI Secure CLI は CLARiX ストレージ システムのリリース 19 ファームウェアと共に導入されました 実行可能プログラム名は naviseccli です お客様からのフィードバックでは Classic CLI と Java CLI 両方のすべての機能を提供し Navisphere 6.x セキュリティを実装し JRE を必要としない単一の CLI 実行可能プログラムの必要性を示しています Secure CLI は C++ プログラミング言語で実装され ポート 443( または 2163) 上の Navisphere Management Server と通信します 表 1 では 3 つ CLI アプリケーションの主要な特徴をまとめました 表 1: Navisphere CLI アプリケーションの概要 実装プログラミング言語 Classic CLI Java CLI Secure CLI C++ Java C++ 通信方法 ポート 6389 上の SP Agent ポート 443 または 2163( 標準 SSL ポート ) 上の Navisphere Management Server ポート 443 または 2163( 標準 SSL ポート ) 上の Navisphere Management Server セキュリティ基本 2 Navisphere 6.x Navisphere 6.x 1 Navisphere 6.xアーキテクチャおよびセキュリティ コンポーネントの詳細については ホワイト ペーパー Securely Managing EMC CLARiX Storage Systems を参照してください 2 ユーザーは コマンド発行にあたりClassic CLIの実行可能許可およびAgent Privileged User Listのエントリー のみを必要とします 4

6 コマンド セット 基本ストレージ操作 新規 Navisphere 6.x 機 能コマンド Classic CLI + Java CLI コマンド 追加ソフトウェア要件 なし Java Runtime Environment なし OS サポート Windows 2000 Windows 2003 Linux Solaris AIX HP-UX Netware Windows 2000 Windows 2003 Linux Solaris AIX HP-UX Netware Windows 2000 Windows 2003 Linux, Solaris Secure CLI の詳細 Navisphere Secure CLI は CLI コマンドを発行する単一の実行可能プログラムを提供し Classic CLI の機能をと組み合わせた Java CLI と同一レベルのセキュリティを実現します ( ただし JRE は不要 ) Secure CLI は リリース 19 ファームウェア以上を実行するいずれの CLARiX ストレージ システムでも標準となり Navisphere Host Agent/CLI ソフトウェア パッケージの一部となるスタンドアローンのバイナリ実行可能プログラムです 以降のセクションが Secure CLI に関連する場合 Navisphere 6.x セキュリティ機構を参照しています Navisphere 6.x プラットフォームのアーキテクチャおよびセキュリティの詳細については ホワイト ペーパー Securely Managing EMC CLARiX Storage Systems を参照してください Secure CLI とストレージ システム間の通信 前述の Navisphere CLI の概要 セクションおよび表 1 に示したように Secure CLI は Navisphere 6.x セキュリティ機構を実装しています Navisphere 6.x セキュリティの主要コンポーネントは Navisphere Management Server であり これはストレージ システムに対するすべてホストからの通信を操作します Secure CLI は ポート 443 上の Management Server と通信します そして ポート 443 は Secure Sockets Layer(SSL) 暗号化通信の標準ポートとなります お客様は 安全な通信のために代替ポート 2163 の使用を選択することができます 使用される実際のポートは ストレージ システムの初期化中に決定されます ポートのブロッキングお客様は使用するストレージ ネットワークのセキュリティに一層の関心を示しています Secure CLI 通信にアウトバンド (IPネットワーク上) 状態が発生すると 管理ホストとストレージ システム間の通信パスを制限することがより重要になっています ポートのブロッキングは ファイアウォール内のポートがホストからの通信要求を制限するために使用できます Secure CLIは適切な操作のためにポート 443 または 2163 のいずれかをオープンすることを必要とします 3 セキュリティ認証 ユーザー認証は Secure CLI の重要なセキュリティ要素です ストレージ システム上のデータを変更するすべてのコマンドは 実行前に Management Server による認証が必要です コマンド 3 その他の Navisphere クライアント アプリケーションは 追加ポートをオープンすることを必要とする場合があります 様々な Navisphere コンポーネントで使用するポートの一覧については ホワイト ペーパー Securely Managing EMC CLARiX Storage Systems を参照してください 5

7 と共に有効なユーザー名 パスワード スコープの組み合わせが必要です また これらはストレージ システムのセキュリティ ファイルと一致します セキュリティ認証は 各コマンドのコマンド ライン上で または暗号化されたセキュリティ ファイルのいずれかを通じて提供できます コマンド ラインの起動ユーザー認証は 各コマンドのコマンド ライン上に示すことができます これは 標準の-user -password -scopeスイッチを使用して行います データはクライアントからストレージ システムへ移動する間に暗号化されますが この方法ではコマンド プロンプトやスクリプト ファイルのセキュリティ認証を暗号化しません ストレージ システムのセキュリティは 無許可のユーザーがスクリプト ファイルへアクセスした場合 侵害される可能性があります 暗号化されたセキュリティ ファイルの使用によって このセキュリティ リスクは軽減されます セキュリティ ファイル AddUserSecurityスイッチは クライアント マシン上で暗号化セキュリティ ファイルを作成するのに使用されます このファイルは ユーザー名 パスワード スコープを含む単一のエントリーを保存します Secure CLIコマンドが セキュリティ認証の提供なしで実行された場合 アプリケーションはセキュリティ ファイルを検索します セキュリティ ファイルが見つかった場合 これらの認証は使用され 見つからなかった場合 エラーがユーザーに返されます 次に このスイッチの使用例を示します naviseccli AddUserSecurity user admin password pass scope 0 naviseccli は セキュリティ ファイルのユーザー名を特定することができます Java CLI は セキュリティ ファイルのユーザー名にローカル コンピュータからのログオン ユーザー名を使用します つまり ローカル コンピュータ アカウントは Navisphere ドメインの対応するユーザー アカウントを必要とします この制限は Secure CLI では撤廃されました セキュリティ ファイルの場所暗号化されたセキュリティ ファイルは ユーザーのホーム ディレクトリがあるローカル マシンに保存されます このファイルを他のユーザーのディレクトリやマシンにコピーしたり移動したりする場合 アクセスされることを防ぐために追加のセキュリティ機構が存在します ただし 特定の場所にセキュリティ ファイルを保存することを希望するお客様もいます スイッチ secfilepathはこのタスクを実行するために使用します naviseccli AddUserSecurity user manager password pass2 scope 0 secfilepath C:\mydocs 以前のコマンドは C:\mydocs ディレクトリに適切な認証を持つ暗号化セキュリティ ファイルを作成します Secure CLI コマンドは セキュリティ ファイルの正しい場所に Secure CLI を合致させるために secfilepath スイッチを使用する必要があります naviseccli secfilepath C:\mydocs\ h <ip address of SP> getsp 解析出力 Secure CLI では出力がどのように表示され処理されるかに関して いくつかの改善が行われました 6

8 両方のストレージ プロセッサを包括 Classic CLI はターゲット SP についての情報のみを表示しますが Secure CLI は特定のコマンドで両方の SP についての情報を表示します サポートされるコマンドおよび出力への影響は次のとおりです getsp Classic CLI は非ターゲット SP のシリアル番号に N/A を返し Secure CLI は実際のシリアル番号を返します getall Classic CLI は非ターゲット SP のシリアル番号に N/A を返し Secure CLI は実際のシリアル番号を返します chglun Classic CLI はバインド解除された LUN に SP A: Unit not bound 文を返し Secure CLI は SP A: Unit not bound, SP B: Unit not bound 文を返します 警告の統合 特定の Classic CLI コマンドには 複数の警告をユーザーに確認するよう促すものがあります Secure CLI では関連するすべての警告をシングル インスタンスで表示し ユーザーが一回の確認で済むようにします これは次のコマンドが該当します alpa firmware networkadmin port storagegroup 既存のお客様への影響 Secure CLI は ストレージ システムに対して CLI コマンドを実行する 新しいクライアント実行可能プログラムです ここまでのセクションでは Secure CLI の基礎 および Secure CLI と以前の CLI 実行可能プログラムにおける違いについて説明しました これらの違いにより Secure CLI への切り替えは既存のお客様にわずかな影響を及ぼします 必要なスクリプトの変更 スクリプトは頻繁に CLI アプリケーションで使用されます 1 つのスクリプトの使用でストレージ システム構成すべてを自動化するお客様もいます 既存の Classic CLI および Java CLI スクリプトは 簡単な修正をわずかに行うだけで新しい Secure CLI との互換性を保つことができます まず すべてのコマンドは navicli または java -jar navicli.jar の代わりに naviseccli で起動する必要があります 次に Secure CLI は Classic CLI と Java CLI の機能を含むので スクリプトを統合することができる場合があります Secure CLI の制限事項 セクションでは 現在サポートされていないコマンドの一覧を示します 有効なセキュリティ認証の設定 有効な認証は Secure CLI の各コマンドに必要です 互換性を維持し 各コマンドにユーザー名とパスワードを指定する必要性をなくすために Secure CLI で -AddUserSecurity スイッチを使用してユーザー認証を作成することができます これにより 認証は暗号化されたファイルとしてローカルのサーバ上に保存されます この認証は Java CLI で使用される認証とは微妙に異なり Java CLI によって作成されるセキュリティ ファイルや Secure CLI によって必要となるセキュリティ ファイルとは上位互換性がないことに注意してください 新しいセキュリティ ファイルは Secure CLI の適切な使用のた めに必要です 7

9 Secure CLI の制限事項 CLARiX ストレージ システムを管理するアプリケーションとして Secure CLI は単一の CLI 実行可能プログラムを作成する一歩先を進んだソリューションですが 制限事項も存在します これらの制限事項のいくつかは Secure CLI の拡張に伴なって将来無くなります しかし ソリューション固有の制限事項や以前の CLI 実行可能プログラムに付属して存在する制限事項もあります FLARE リリース 19 の要件 FLARE リリース 19 の稼働環境は 完全な Secure CLI コマンド セットに必要です リリース 19 以前のリリースでは Navisphere Management Server は Navisphere 6.0 以降に導入された機能のみをサポートしていました これらのコマンドは Java CLI で実装されていました Classic CLI コマンドは Management Server でサポートされていませんでした 2 つの CLI 実行可能プログラムには異なるコマンド セットが含まれ 両方の実行可能プログラムはすべての CLI コマンドを実行するために必要でした Classic CLI と Java CLI コマンドをサポートする単一の実行可能プログラムの作成には すべての Classic CLI コマンドをサポートする Management Server への更新が必要です しかし これにより Secure CLI がリリース 19 以前のファームウェアを実行するストレージ システムを対象にした場合 制限事項が生じます さらに以前のストレージ システムの Management Server によって認識された Java CLI コマンドのみが Secure CLI によってサポートされます Classic CLI コマンドが Secure CLI(getsp など ) で発行された場合 より以前のストレージ システムの Management Server はコマンドを認識しません Classic CLI 実行可能プログラムは これらのさらに以前のシステムを管理するために必要です Classic CLI および Java CLI の両方を Secure CLI でサポートするには 管理対象のストレージ システム上の Management Server がリリース 19 以上でなくてはなりません Management Server ソフトウェアは ストレージ システム ファームウェア アップグレードの一部としてのみ更新できます 現在 Secure CLI でサポートされていないコマンド Secure CLI の最初のリリースは Flare Operating Environment のリリース 19 ファームウェアと一致していました この最初のリリースの時点で Secure CLI はストレージ システムで対象にされるコマンドのみをサポートしていました Classic CLI コマンドには Navisphere Host Agent に反して実行されるコマンドもあり また ホストまたはストレージ システムのいずれかを対象にすることができるコマンドもあります 標準エラー メッセージ Management Server - Feature software is not installed or the command may have been typed incorrectly(management Server - 対象のソフトウェアはインストールされていないか コマンドが誤って入力された可能性があります ) は Secure CLI コマンドがホストを対象にした場合 ユーザーに返されます 次の表では 未サポートの Secure CLI コマンドと代替の実行方法の一覧を示します 8

10 表 2: 未サポートの Secure CLI コマンドと代替の実行方法 コマンド機能代替の実行方法 NDU register ストレージ システムにソフトウェアをインストールします プッシュを行うホスト エージェントを要求します Classic CLI または Software Installation Wizard のいずれかを使用します Classic CLIまたはServer Registration Utilityのいずれかを使用します 4 lunmapinfo remoteconfig getagent ホスト エージェントとアレイの両方を対象にして ドライブ マッピングを表示します ホストまたはストレージ システムのいずれかに特権ユーザーを設定します h スイッチは対象となるシステムを定義します SP エージェントまたはホスト エージェントのいずれかのリビジョン情報を提示します h スイッチは対象となるシステムを定義します Classic CLI を使用します ホストで命令された場合 Classic CLI を使用します ホストで命令された場合 Classic CLI を使用します これらのコマンドのサポートは将来 Secure CLI アプリケーションに追加される予定です このサポートが提供されるまでは 未サポートの Secure CLI コマンドのいずれを実行するにして Classic CLI または代替の方法を使用する必要があります 結論 コマンド ライン インタフェース アプリケーションは Navisphere Management Suite の重要な構成要素です 複数の実行可能プログラムは 追加機能および特徴が Navisphere アークテクチャに追加されることによって 時間をかけて進化してきました 最新の実行可能プログラム Secure CLI は 一歩先を進むソリューションとして開発され JRE を必要とすることなく すべてのストレージ管理のコマンドをサポートする単一の CLI 実行可能プログラムを提供します また Secure CLI は Navisphere 6.x アーキテクチャの強力なセキュリティ機構を実装しています 4 Server Registration Utilityの詳細については ホワイト ペーパー Host Management in the CLARiX- Navisphere Environment を参照してください 9

11 付録 :Navisphere Management Suite のホワイト ペーパー ガイド 一連のホワイト ペーパーは セキュリティ ドメイン管理 ホスト管理 安全な CLI SNMP リモート サポート イベント モニタなど Navisphere Management Suite の主要な要素を取り扱うために作成されました これらのホワイト ペーパーは 標準の Navisphere 管理者およびユーザー ガイドを補完します 利用できるホワイト ペーパーを簡単な概要と共に次に示します ホワイト ペーパー Securely Managing EMC CLARiiON Storage Systems Domain Management with EMC CLARiiON Storage Systems EMC Navisphere Secure Command Line Interface( このドキュメント ) Managing EMC CLARiiON with SNMP EMC Navisphere Event Monitor Event Codes( テクニカル ノート ) 説明 CLARiX/Navisphere 6.x 環境でのインバンドおよびアウトバンド通信とセキュリティについて詳しく説明しています Navisphere 6.x ソフトウェアを使用して 1 つのドメイン内および複数のドメインにわたって EMC CLARiX ストレージ システムを管理する方法について説明します さらに このホワイト ペーパーでは 従来のストレージ システムの管理に使用するオフ アレイ ソフトウェアの機能のほか お客様の環境に基づいてドメインを構成するシナリオを紹介しています CLI の概要 Classic CLI および Java CLI からの変換 Secure CLI の制限など Navisphere Secure CLI について詳しく説明しています CLARiX の SNMP(Simple Network Management Protocol) 機能 およびこの機能をエンタープライズ モニタリング環境で使用する方法について説明しています Navisphere イベント モニタ内で利用できる参照および検索可能なイベント リストです 10