Systemwalker Centric Manager V12.0L10/12.1 インターネット適用ガイド DMZ編

Transcription

1 Systemwalker Centric Manager V12.0L10/12.1 インターネット適用ガイド DMZ 編 J2X Z2(00) Microsoft Windows NT / Microsoft Windows 2000/ Microsoft Windows Server 2003 UNIX 共通

2 まえがき 本書の目的本書は Systemwalker Centric Manager 12.1 およびSystemwalker Centric Manager V12.0L10のインターネット環境で DMZ(DeMilitarized Zone) を使用する場合の機能概要 導入方法 および運用方法について説明しています なお 本書は Solaris/Linux/Windows 版を対象としています 本書の読者本書は Systemwalker Centric Managerで インターネット上のDMZを運用管理される方を対象としています 本書をお読みになる場合 Systemwalker Centric Manager 解説書 をお読みになり Systemwalker Centric Managerの概要を理解しておくことが必要です 本書の構成本書は 1 章 ~5 章 および付録から構成されています 第 1 章概要 DMZ 上でSystemwalker Centric Managerを使用した運用管理の概要について説明します 第 2 章環境 DMZ 上でSystemwalker Centric Managerを使用して運用管理を行う場合の環境について説明します 第 3 章機能 Systemwalker Centric ManagerをDMZ 上で使用する場合の固有機能について説明します 第 4 章導入 DMZ 上でSystemwalker Centric Managerを使用して運用管理を行うための環境構築について説明します 第 5 章運用 DMZ 上でSystemwalker Centric Managerを使用して運用管理を行う場合の運用方法について説明します 付録 A S/MIME SSLを使用したデータの暗号化 DMZ 上でSystemwalker Centric Managerを使用して運用管理を行う場合のデータの暗号化について説明します i

3 付録 B CSVからのノード作成 DMZ 上でSystemwalker Centric Managerを使用して運用管理を行う場合に CSVから構成情報を作成する手順について説明します 付録 C サンプルスクリプト ( ユーザカスタマイズ可能な部分 ) DMZ 上でSystemwalker Centric Managerを使用してサービスの稼働監視を行う場合に参照するサンプルスクリプト ( ユーザカスタマイズ可能な部分 ) について説明します 本書の読み方 コマンドで使用する記号についてコマンドで使用している記号について以下に説明します 記述例 [PARA =a b c ] 記号の意味記号意味 [ ] この記号で囲まれた項目を省略できることを示します { } この記号で囲まれた項目の中から どれか1つを選択することを示します 省略可能記号 [ ] 内の項目をすべて省略したときの省略値が 下線で _ 示された項目であることを示します この記号を区切りとして並べられた項目の中から どれか 1つを選択することを示します この記号の直前の項目を繰り返して指定できることを示します マニュアルの記号についてマニュアルでは以下の記号を使用しています 特に注意が必要な事項を説明しています 知っておくと便利な情報を説明しています 知っておくと参考になる情報を説明しています 注意事項本書では Systemwalker Centric Managerのエディションで Standard Editionを SE Enterprise Editionを EE およびGlobal Enterprise Edition ii

4 を GEE と省略していますので 各エディションをお読み替えください 略語表記について Microsoft Windows Server 2003, Standard Edition Microsoft Windows Server 2003, Enterprise Edition Microsoft Windows Server 2003, Datacenter Edition およびMicrosoft Windows Server 2003, Web Editionを Windows Server 2003 と略しています Microsoft Windows 2000 Professional operating system Microsoft Windows 2000 Server operating systemおよびmicrosoft Windows 2000 Advanced Server operating systemを Windows 2000 と略しています Microsoft Windows 2000 Professional operating systemを Windows 2000 Professional と略しています Microsoft Windows NT Server network operating system Version 4.0 Microsoft Windows NT Workstation operating system Version 4.0 を Windows NT と略しています Microsoft Windows NT Server network operating systemを Windows NT Server と略しています Microsoft Windows NT Workstation operating systemを Windows NT Workstation と略しています Microsoft Windows 98 operating system, Microsoft Windows 98 Second Editionを Windows 98 と略しています Microsoft Windows Millennium Editionを Windows Me と略しています Microsoft Windows XP ProfessionalおよびMicrosoft Windows XP Home Editionを Windows XP と略しています Windows NT Windows 2000およびWindows Server 2003 上で動作する Systemwalker Centric Managerを Windows 版 Systemwalker Centric Manager または Windows 版 と略しています Solaris オペレーティングシステムを Solaris と略しています Solaris 上で動作する Systemwalker Centric Managerを Solaris 版 Systemwalker Centric Manager または Solaris 版 と略しています HP-UX 上で動作するSystemwalker Centric Manager を HP-UX 版 Systemwalker Centric Manager または HP-UX 版 と略しています AIX 上で動作するSystemwalker Centric Managerを AIX 版 Systemwalker Centric Manager または AIX 版 と略しています Linux 上で動作するSystemwalker Centric Manager を Linux 版 Systemwalker Centric Manager または Linux 版 と略しています Linux 上 Itaniumに対応したLinux 上で動作するSystemwalker Centric Managerを Linux 版 Systemwalker Centric Manager または Linux 版 と略しています また Itanium に対応した Linux 上で動作する Systemwalker Centric Managerの固有記事を Linux for Itanium 版 と略しています iii

5 Solaris HP-UX AIX Linux 上で動作するSystemwalker Centric Manager を UNIX 版 Systemwalker Centric Manager または UNIX 版 と略しています 輸出管理規制表記当社ドキュメントには 外国為替および外国貿易管理法に基づく特定技術が含まれていることがあります 特定技術が含まれている場合は 当該ドキュメントを輸出または非居住者に提供するとき 同法に基づく許可が必要となります 平成 17 年 8 月初版 平成 17 年 8 月 商標について APC APCロゴ PowerChute Smart-UPS その他のAPC 製品名は American Power Conversion Corpの商標および登録商標です Ethernetは 富士ゼロックス株式会社の登録商標です HP-UXは 米国 Hewlett-Packard 社の登録商標です MC/ServiceGuardは Hewlett-Packard Companyの製品であり 著作権で保護されています Linuxは Linus Torvalds 氏の米国およびその他の国における登録商標あるいは商標です Microsoft MS-DOS Windows Windows NT Visual Basic Windows Server ActiveSyncは 米国 Microsoft Corporationの米国およびその他の国における登録商標です Oracle Oracle8i Oracle9iは 米国オラクルの登録商標です Red Hat RPMおよびRed Hatをベースとしたすべての商標とロゴは Red Hat, Inc. の米国およびその他の国における商標または登録商標です Sun Sun Microsystems サンのロゴマーク Sun/Solaris/Java に関連するすべての商標およびロゴマークは 米国 Sun Microsystems, Inc. の米国およびその他の国における商標または登録商標です Symantec Symantecロゴ Norton AntiVirusは SymantecCorporationの米国における登録商標です Tcl/Tkは カリフォルニア大学 サン マイクロシステムズ社 Scriptics 社他が作成したフリーソフトです UNIX は X/Open Company Limited が独占的にライセンスしている米国および他の国における登録商標です VirusScanおよびNetShieldは 米国 Network Associates 社および関連会社の商標または登録商標です Itaniumは 米国 Intel Corporationの米国およびその他の国における登録商標です その他の製品名は 各社の商標または登録商標です iv

6 Microsoft Corporation のガイドラインに従って画面写真を使用しています Portions Copyright Contributors to ISODE Project Portions Copyright Novell,Inc.All Rights Reserved. JavaChart TM Copyright Visual Engineering,Inc.All Rights Reserved HashJava GNU Library General Public License All Rights Reserved,Copyright 株式会社 PFU All Rights Reserved,Copyright 富士通株式会社 Portions Attachmate Corporation.All Rights Reserved. v

7 目次 第 1 章概要 目的 機能概要 管理対象 バージョン混在時の注意事項... 7 第 2 章環境 システム構成 関連するソフトウェア 第 3 章機能 構成管理 インベントリ管理 ポリシーの配付 資源配付 監視 サービスの稼働監視 サーバの稼働監視 障害監視 性能監視 アプリケーションの稼働監視 障害監視 性能監視 WWWサーバのセキュリティ ( 不正アクセス ) 監視 復旧 第 4 章導入 導入手順 運用管理サーバの設定 イベント通知をメールで受信するための設定 ノードの作成 ポリシー配付の環境設定 業務サーバの設定 Systemwalker Centric Managerのインストール 使用しないサービス機能の抑止方法 イベントをメールで通知するための設定 イベント通知の確認 性能監視を行うための設定 資源配付を行うための設定 インベントリ管理を行うための設定 HTTP/HTTPSの設定 インベントリ通知スケジュールの定義 通知スケジュール定義の配付 インベントリ情報の参照 インベントリ情報の収集 監視を行うための設定 サービスの稼働監視 アプリケーションの稼働監視 vi

8 4.6.3 WWWサーバのセキュリティ監視 リモート操作を行うための設定...73 第 5 章 運用 WWWサーバへコンテンツを配付する DMZ 上のWWWサーバの稼働を監視する DMZ 上のサーバからDNSサービスを監視する...86 付録 A S/MIME SSLを使用したデータの暗号化...89 A.1 S/MIME SSLを使用するための設定...91 A.1.1 秘密鍵 証明書の作成...92 A.1.2 証明書管理環境定義ファイル (mpcrtmgr.def) の編集...96 A.1.3 証明書管理環境の作成 A.2 S/MIMEを使用してイベント監視を行う A.2.1 S/MIMEを有効 / 無効にする A.2.2 S/MIMEを使用したイベント監視 A.3 SSLを使用して資源配付を行う A.3.1 インターネット環境での資源配付 A.4 HTTPSサーバの稼働監視を行う A.5 証明書管理環境の変更 削除 参照 付録 B CSVからのノード作成 B.1 ノードの作成 B.2 ノードの削除 付録 C サンプルスクリプト ( ユーザカスタマイズ可能な部分 ) vii

9 第 1 章 概要 本章では DMZ 上でSystemwalker Centric Managerを使用した運用管理の概要について説明します

10 第 1 章概要 1.1 目的 Webサービスなどの公開ゾーン ( 以降 DMZと呼びます ) に構築するシステムでは 24 時間 /365 日安定したサービスを提供するという要件があります 信頼性が求められると同時に 監視 復旧 維持などの運用管理が重要になります また DMZ 上の業務は インターネットから利用できる便利さの反面 セキュリティ面での脅威があるため Firewallなどを利用した安全な環境の保持と インターネットからDMZへの不正アクセスの監視が必要になります Systemwalker Centric Managerを利用することにより これらを実現することができます 2

11 1.2 機能概要 1.2 機能概要 構成の管理 Systemwalker Centric Managerを使って DMZ 上の管理業務として利用できる機能を以下に示します 機能分類機能 DMZ 説明 ネットワークの構成情報の管理 ノード検出 イベント通知による新ノードの検出ができます SNMPを使用したノード検出はできません インベントリ管理 システムの構成情報の管理 アプリケーションアプリケーション検出 DMZ 内にある監視対象アプリケー の構成情報の管理 ションを GUIから登録します コンソール クライアントのコ Systemwalkerコンソール ンソール Webコンソール Systemwalker Webコンソ ール ポリシー配付 資源の配付 資源配付 簡易資源配付 Windows 版だけの機能です ネットワーク稼働監視 ノード状態の表示 / システムの ノード状態の監視 監視 障害監視 トラップの監視 DMZ 内でのSNMP 使用は推奨しませ ん MIBしきい値監視 アプリケーションの監視 業務の監視 ノードの変更監視 性能監視 稼働監視 障害監視 性能監視 業務監視 システムのイベント監視 システム性能監視 ネットワーク性能監視 性能情報の表示 ヒストリ表示 アプリケーションの稼働 状態の表示アプリケーションの稼働 状態の監視アプリケーションのイベ ント監視アプリケーションしきい 値監視アプリケーション性能表 示業務構成の管理 リソースの関係管理 未登録固定 IPノードの接 続検知固定 IPノードの削除 / 追 加 / アドレス変更の検知 DMZ 内での SNMP 使用は推奨しません イベントによるノード追加 および Systemwalker コンソールで編集した結果が検知できます 3

12 第 1 章概要 機能分類 機能 DMZ 説明 WWWサーバのセキュリティ ( 不正アクセス ) 監視 障害の対処 リモートからの操リモート操作 被管理側のPC(Windows 版 ) を管 作 リモートコマンド 理側から操作できます リモートからの電サーバの電源投入 切断 源投入 切断 アプリケーションアプリケーション操作 の起動 停止の操作 障害対処の自動化自動アクション サーバごとに設定します UNIX 版の業務サーバの設定は DMZ 上の Systemwalker Centric Managerのクライアント または運用管理クライアントから行います リカバリフロー 障害の管理 障害管理 ヘルプデスク サービスレベネットワーク性能性能情報グラフ表示 ルの評価 評価 システムの評価 レポーティング インテリジェントサービス : 使用可能 : 一部機能制限あり : 使用不可能 4

13 1.3 管理対象 1.3 管理対象 DMZ 内で管理対象となる OS ソフトウェアについて 以下に記述します OS Solaris - Solaris 10 - Solaris 9 - Solaris 8 - Solaris 7 Linux - Red Hat Linux 9 - Red Hat Enterprise Linux AS(v.3 for x86) - Red Hat Enterprise Linux ES(v.3 for x86) Linux for Itanium - Red Hat Enterprise Linux AS(v.4 for Itanium) HP-UX - HP-UX HP-UX 11.11i(11.11) AIX - AIX AIX 5L Windows - Windows NT Server - Windows NT Server Enterprise Edition Windows 2000 Server Advanced Server - Windows 2000 Server Datacenter Server - Windows Server 2003 Web Edition - Windows Server 2003 Standard Edition - Windows Server 2003 Enterprise Edition 5

14 第 1 章概要 ソフトウェア Systemwalker Centric Manager V12.0L10/12.1との連携製品の情報については 以下の表を参照してください ソフトウェア 製品名 ベンダ プラットホームバージョン Webサーバ Apache フリー Windows - Apache フリー Solaris - Apache フリー HP-UX - Apache フリー Linux - Apache フリー AIX - Netscape Enterprise Server Netscape Windows V3.5.1 Netscape Enterprise Server Netscape Solaris V3.5.1 Internet Information Server Microsoft Windows V3.0/V4.0 Internet Information Services Microsoft Windows V5.0/V6.0 Proxy INTERSTAGE Security Director Fujitsu Windows V1.2/V2.0 (InfoProxy) INTERSTAGE Security Director Fujitsu Solaris V2.0 (InfoProxy) Microsoft Proxy Server Microsoft Windows V1.0/V2.0 Squid フリー Solaris V2.0 Squid フリー HP-UX - Squid フリー Linux - Squid フリー AIX - Delegate フリー Windows Delegate フリー Solaris Delegate フリー HP-UX - Delegate フリー Linux - Delegate フリー AIX - DNS DNS OS 組込み サポート Firewall Firewall-1 CheckPoint Windows V3.0/V4.0 Firewall-1 CheckPoint Solaris V3.0/V4.0 Safegate Fujitsu Windows V2.0 Safegate Fujitsu Solaris V2.0 Mail Sendmail OS 組込み Solaris - 6

15 1.4 バージョン混在時の注意事項 1.4 バージョン混在時の注意事項 アプリケーションの稼働監視では 運用管理サーバ ( マネージャ ) 業務サーバ ( エージェント ) のどちらかが Systemwalker Centric Manager V10.0L21/10.1 以前の場合 プロセス数監視の機能を使用することができません 7

16 第 1 章概要 8

17 第 2 章 環境 本章では DMZ 上でSystemwalker Centric Managerを使用して運用管理を行う場合の環境について説明します

18 第 2 章環境 2.1 システム構成 DMZ 上の業務システムに Systemwalker Centric Managerを適用して運用管理を行う場合の運用モデルです 以降の説明は本モデルにしたがって行います システム構成に応じて本モデルを応用してください ソフトウェア条件インストール種別に応じて それぞれ必要なソフトウェアをインストールしてください 運用管理サーバ OS ソフトウェア条件 インストール種別 Windows Systemwalker Centric Manager SE/EE V12.0L10 運用管理サーバ Solaris Systemwalker Centric Manager SE/EE/GEE 12.1 Linux Systemwalker Centric Manager SE/EE V12.0L10 運用管理クライアント OS ソフトウェア条件 インストール種別 Windows Systemwalker Centric Manager SE/EE V12.0L10 Solaris Systemwalker Centric Manager SE/EE/GEE 12.1 Linux Systemwalker Centric Manager SE/EE V12.0L10 運用管理クライアント 10

19 2.1 システム構成 部門管理サーバ OS ソフトウェア条件 インストール種別 Windows Systemwalker Centric Manager SE/EE V12.0L10 部門管理サーバ Solaris Systemwalker Centric Manager SE/EE 12.1 Linux Systemwalker Centric Manager SE/EE V12.0L10 業務サーバ OS ソフトウェア条件 インストール種別 Windows Systemwalker Centric Manager SE/EE V12.0L10 Solaris Systemwalker Centric Manager SE/EE 12.1 Linux Systemwalker Centric Manager SE/EE V12.0L10 業務サーバ 配下となるサーバ ( 部門管理サーバ / 業務サーバ ) は 運用管理サーバと同じバージョンレベル またはそれ以前のバージョンレベルで構成してください 運用管理サーバより以前のバージョンレベルで構成した場合は バージョンレベルに合わせて機能制限があります 安全性のための前提条件 イントラネットとDMZ 間に置くFirewallは インターネット標準のプロトコル (HTTP/SMTP) を通すように設定します 利用する機能に応じたプロトコルを イントラネット側からDMZ 側に向けて通すように設定します (DMZからイントラネットへ独自プロトコルは通さない ) プロキシサーバは HTTPプロトコルでの通信が可能となるように設定します Systemwalker Centric Manager の配置 DMZ 内の管理対象となるサーバには 業務サーバを導入します システムの稼働監視だけを行う場合は 必要ありません また 部門管理サーバは使用できません 運用管理サーバ および運用管理クライアントは イントラネット内に設置します 11

20 第 2 章環境 2.2 関連するソフトウェア DMZ 上でSystemwalker Centric Managerを利用する場合に必要となるソフト ウェアを以下に示します Systemwalker Centric Manager V12.0L10/12.1との連携製品の情報について は 以下の表を参照してください ソフトウェア 製品名 ベンダ プラットホーム バージョン Proxy INTERSTAGE Security Fujitsu Windows V2.0L10 以降 Director(InfoProxy) INTERSTAGE Security Fujitsu Solaris V1.2 以降 Director(InfoProxy) Mail Sendmail OS 組込み ( 最新バー Solaris ジョンのSendmail を推奨します ) - 12

21 第 3 章 機能 本章では DMZ 上でSystemwalker Centric Managerを使用して行う運用管理の管理機能について説明します

22 第 3 章機能 3.1 構成管理 DMZ 上に存在する資源の構成情報を管理します DMZ 上のノードの構成を [Systemwalkerコンソール] に表示し 各ノードからイベントが通知された場合は 該当のノードのアイコンを点滅させて表示します 14

23 3.2 インベントリ管理 3.2 インベントリ管理 DMZ 上に存在するサーバのインベントリ情報を収集することができます HTTP 通信 またはHTTPS 通信で 運用管理サーバから 業務サーバのインベントリを収集できます 15

24 第 3 章機能 3.3 ポリシーの配付 DMZ 上の業務サーバで動作するエージェントに対して 管理するためのポリシーをHTTP 通信で配付します DMZ 上の各業務サーバへは プロキシサーバを経由してHTTPプロトコル通信でポリシーを配付します DMZ 上にプロキシサーバが必要になります 16

25 3.4 資源配付 3.4 資源配付 DMZ 上でSystemwalker Centric Managerを使用して行う運用管理の 配付機能について説明します DMZ 上のサーバへ導入するソフトウェア資源の管理 および配付をHTTP 通信 またはHTTPS 通信で行います DMZ 上のサーバで動作するアプリケーションの保守を行います PROXY 経由でWWWサーバにコンテンツを配付します 運用管理サーバから業務サーバに対してオンライン検索を行い 配付結果状況を確認します DMZ 上の各業務サーバへは プロキシサーバを経由してHTTP/HTTPSプロトコル通信で資源を配付します DMZ 上にプロキシサーバが必要になります 17

26 第 3 章機能 3.5 監視 DMZ 上でSystemwalker Centric Managerを使用して行う運用管理の監視機能について説明します サービスの稼働監視 被監視ホスト または被監視ノード上で動作する インターネットサーバ (DNS SMTP WWWサーバなど ) の稼働状況を監視し 監視対象サービスが停止していた場合に 運用管理サーバへイベント通知します また 監視対象サービスが復旧し 再びサービスが稼働状態になると 運用管理サーバへ自動対処イベントを通知します なお 自動対処イベントは メール連携で通知する形態は使用できません 監視方法を以下に示します 機能 監視方法 備考 稼働監視 運用管理サーバから 業務サーバに対して通過するプロトコル (HTTP/SMTPなど) のポーリングを行い サービスの異常を通知します また 業務サーバからポーリングを行い 運用管理サーバに対してサービスの異常を通知することもできます - サポートするサービスとその機能概要を以下の表に示します 対象サービス 対象プロトコル 機能概要 Web HTTP HTTP 要求を送信し WWWサーバの稼働状況を監視し ます HTTPS SSLを利用した暗号化通信により HTTPSに対応した WWWサーバの稼働状況を監視します SSLを利用するための環境構築については 付録 A S/MIME SSLを使用したデータの暗号化 を参照してください SOAP SOAP 要求を送信し Webサーバの稼働状況を監視します Mail SMTP SMTPサーバへ接続要求を行い 接続可能であるかを 監視します POP3 POP3サーバへ接続要求を行い 接続可能であるかを監視します DNS DOMAIN DNSサーバへDNSプロトコルフォーマットで要求を行い 応答通知を監視します FTP FTP FTPサーバへ接続要求を行い 接続可能であるかを監視します News NNTP NNTPサーバへ接続要求を行い 接続可能であるかを監視します そのほか TELNET TELNETサーバへ接続要求を行い 接続可能であるか を監視します ICMP 監視対象ホストに対し echo request 要求を送信し echo reply 通知を監視します 18

27 3.5 監視 19

28 第 3 章機能 サーバの稼働監視 障害監視 性能監視 サーバの稼働監視 障害監視 性能監視について 機能ごとの監視方法を以 下に説明します 機能 監視方法 備考 稼働監視 運用管理サーバから 業務サーバに対して通過するプロトコ - ル (HTTP/SMTPなど) のポーリングを行い サーバの異常を通知します 障害監視 OSなどが出力するsyslog/ イベントログを監視し 運用管理サ - ーバへSMTPで通知します 性能監視 業務サーバ上の性能監視エージェント機能が 設定されたポリシーにしたがって監視を行い 運用管理サーバへSMTPで通知します - DMZ 上の各業務サーバから運用管理サーバへは SMTPプロトコル通信で通知します DMZ 上には POP3サーバが 運用管理サーバ側には メールサーバが必要になります 20

29 3.5 監視 アプリケーションの稼働監視 障害監視 性能監視 アプリケーションの稼働監視 障害監視 性能監視について 機能ごとの監視方法を以下に説明します 機能 OS 監視方法 備考 稼働監視 Windows 版 UNIX 版共通 業務サーバ上で プロセスの異常停止がイベントログにメッセージ出力される場合 ( サービスなど ) イベント監視でそのメッ - セージを運用管理サーバへSMTPで通知します 業務サーバ上で プロセス監視スクリプトが稼働を監視し 異常時には運用管理サーバへSMTPで通知します 障害監視 性能監視 Windows 版 UNIX 版共通 Windows 版サーバの場合 UNIX 版サーバの場合 アプリケーションが出力するsyslog/ イベントログを監視し 運用管理サーバへSMTP で通知します 運用管理クライアントから業務サーバの性能のしきい値を設定し システムの性能を監視します パフォーマンスライブラリから定期的にシステムの性能情報を収集 監視し 性能値がしきい値を超えた場合 運用管理サーバへSMTPで通知します 運用管理クライアントから業務サーバの性能のしきい値を設定し システムの性能を監視します sar コマンドなどから定期的にシステムの性能情報を収集 監視し 性能値がしきい値を超えた場合 運用管理サーバへ SMTP で通知します - パフォーマンスモニタが正常に動作する環境が必要です sar コマンドが必要です sar コマンドの詳細は OS のマニュアルを参照してください ( ) :sarコマンドがインストールされていない場合は インストールしてください 監視対象となるサーバがSolaris 版の場合は SUNWaccuパッケージをインストールしてください 21

30 第 3 章機能 DMZ 上の各業務サーバから運用管理サーバへは SMTPプロトコル通信で通知します DMZ 上には POP3サーバが 運用管理サーバ側には Mailサーバが必要になります 22

31 3.5 監視 WWW サーバのセキュリティ ( 不正アクセス ) 監視 インターネットサーバ管理のセキュリティ監視機能では WWWサーバへのアクセス状況を監視することができます また 異常が発生した場合 監視イベントとして [Systemwalkerコンソール] に通知します 監視方法を以下に示します 機能監視方法備考 セキュリティ監視 WWW サーバと連携してセキュリティ監視を行い 異常時には運用管理サーバへ SMTP で通知します 以下の監視項目があります 負荷アタックの検出 ユーザ認証へのハックの検出 ( 認証エラー ) 不正アクセスの検出 - DMZ 上の各業務サーバから運用管理サーバへは SMTPプロトコル通信で通知します DMZ 上には POP3サーバが 運用管理サーバ側には Mailサーバが必要になります 23

32 第 3 章機能 3.6 復旧 DMZ 上のサーバ (Windows 版 ) を運用管理サーバからリモート操作し トラブルを復旧します DMZ 上にLive Help Connectを配置すると Live Help 独自の認証機構を利用できます Live Help Connectを経由しない場合は リモート操作クライアントのIPアドレスとパスワードがわかれば業務サーバに接続が可能なため Live Help Connect 経由でリモート操作を行うことを推奨します 不正アクセスがあり DMZ 内のリモート操作クライアントに接続されると DMZのセキュリティが破られてしまいます 以下は DMZのサーバをリモート操作する場合の留意事項です リモート操作クライアントの起動方式に [Windows 起動時に自動起動 ] を選択する場合 リモート操作クライアントを常時起動させる業務サーバはパスワードを設定し ログオフ状態にしてください リモート操作クライアントには 必ず接続用のパスワードを設定してください Firewallの設定は 運用管理サーバと操作対象のPC 間だけを許可し 詳細な通信ログを採取するように設定してください また 操作対象のPCが複数ある場合は中継機能 (Live Help Connect) を利用して 運用管理クライアントと中継サーバ間の接続だけ許可することを推奨します 24

33 第 4 章 導入 本章では DMZ 上でSystemwalker Centric Managerを使用して運用管理を行うための環境構築について説明します

34 第 4 章導入 4.1 導入手順 Systemwalker Centric Managerを使用して DMZ 上の運用管理を行う場合の環境構築手順を以下に示します 26

35 4.1 導入手順 以降の説明は 以下の使用例に基づいて説明します モデル名称一覧と運用 モデルを参考にしてください モデル名称一覧 環境 サーバ名 ホスト名 IPアドレス イントラネット内 運用管理サーバ OMS.intra.A.com 運用管理クライアント OMC.intra.A.com Mailサーバ Mail.intra.A.com DNSサーバ DNS.intra.A.com Firewall FW DMZ 内 Firewall FW Mailサーバ Mail.A.com DNSサーバ DNS.A.com WWWサーバ PROXYサーバ PROXY.A.com 図 : 運用モデル 27

36 第 4 章導入 4.2 運用管理サーバの設定 運用管理サーバ側で行う設定について以下に説明します イベント通知をメールで受信するための設定 メール連携環境の定義方法について説明します 1. [ スタート ] メニューから [ プログラム ]-[Systemwalker Centric Manager]-[ 環境設定 ]-[ システム監視設定 ] を選択します [ システム監視設定 [ 接続先設定 ]] ダイアログボックスが表示されます 2. 運用管理サーバのホスト名 ユーザ名 パスワードを入力し [OK] ボタンをクリックします [ システム監視設定 ] ダイアログボックスが表示されます 3. [ イベント監視の条件定義 ] ボタンをクリックします [ イベント監視の条件定義 ] ウィンドウが表示されます 4. [ 環境設定 ] メニューから [ メール連携環境設定 ] を選択します [ メール連携 ] ダイアログボックスが表示されます 5. 以下の項目を設定し [OK] ボタンをクリックします [ メール連携機能を使用する ] メール連携機能を使用する場合に選択します [ 定義詳細 ] メール連携機能を使用する場合は 以下の定義を行います [POP3サーバ名] メールを受信するPOP3サーバ名を 256バイト以内で指定します [ ユーザ名 ] POP3サーバにログインするユーザ名を 64バイト以内で指定します 28

37 4.2 運用管理サーバの設定 [ パスワード ] POP3サーバにログインするためのパスワードを 64バイト以内で指定します [ 監視間隔 ] POP3サーバに メールの到着を確認する時間間隔を 1から9999 ( 分 ) の範囲で指定します メール連携機能は メッセージごとにほかのシステムに送信するかを指定できます また メッセージごとに送付先を変更することができます ハードエラー ネットワークエラーなどのエラーの内容によって 通知先を変更することができます メール連携機能を使用する場合の注意事項 - 頻繁に発生するメッセージに対して メール連携機能を使用しないでください 頻繁に発生するメッセージに対してメール連携機能を使用すると 送信側システム メールサーバ およびネットワークの負荷が増大します - メール連携機能は を使用するため 必ず送信先にメッセージが送られる保証はありません また 送られる順序の保証もありません 送信してから到着するまでに時間がかかることもあります - メールの受信側システムでは 必ずメール連携機能を使用して受信してください ほかのメールソフトでメールを受信し POP3サーバから削除されると メッセージとして扱われません - メールの受信側システムでは すべてのシステムから送られたメールを受信することができます そのため ほかのシステムからの不当なメール送信により 一つのシステムにメールが集中することがあります このような不当な操作が行われた場合は メール連携機能でメールを受信しないように変更し メールの送信元を特定して対処してください - メール連携機能で受信したメッセージは すべてアクションの自動実行の対象となります したがって ホスト名やメッセージで特定しない定義を行うと アクションが多発する可能性があります アクションの多発を防ぐためにはホスト名を特定することで対処してください - 受信側システムが複数存在する場合は POP3サーバを別にするか ユーザ名を別にしてください - メール連携の送信元のシステムに対して 以下の機能は使用できません リモートコマンド発行 リモートコマンド検索 29

38 第 4 章導入 メッセージ検索 返答要求メッセージへの応答 返答要求メッセージの自動削除 ポリシーの配付 opaconstat oコマンドによる表示 送達確認 - メール連携機能は UNIX 版 SystemWalker/CentricMGR 4.0のサーバに対して使用することができません ノードの作成 DMZ 用のフォルダを作成して DMZ 内のノードを追加します 作成手順を以下に示します フォルダを作成する DMZ 用のフォルダを作成します 1. [Systemwalkerコンソール]-[ 編集 ] を選択します 2. [ オブジェクト ] メニューから [ フォルダの作成 ] を選択します [ フォルダ作成 ] ダイアログボックスが表示されます 30

39 4.2 運用管理サーバの設定 ノードを作成する 3. 以下の項目を設定し [OK] ボタンをクリックします [ 基本情報 ] タブ - 表示名 ( ここでは A.com(DMZ) と指定します ) [ ネットワーク ] タブ - サブネットアドレス - サブネットマスク - SNMPコミュニティ名初期値はpublicになっています 必要に応じて変更してください DMZ 用のフォルダにノードを追加します 1. [Systemwalkerコンソール]-[ 編集 ] を選択します 2. DMZ 用に作成したフォルダ ( ここでは A.com(DMZ) ) を選択し [ オブジェクト ] メニューから [ ノードの作成 ] を選択します [ ノード作成 ] ダイアログボックスが表示されます 31

40 第 4 章導入 3. 以下の項目を設定し [OK] ボタンをクリックします [ 基本情報 ] タブ - 表示名 [ ネットワーク ] タブ - ホスト名 - [INTERNET] チェックボックス [ インタフェース ] タブ - IPアドレス - サブネットマスク - ホスト名 [OS] タブ - OS 種別 ノードの作成は CSVから行うこともできます CSVから作成する場合の手順や入力形式については 付録 B CSVからのノード作成 を参照してください ポリシー配付の環境設定 ポリシー設定を行う前に DMZフォルダ ( インターネットフォルダ ) に対して ポリシーの配付を行うための環境設定を行います HTTPでポリシーを配付するには 運用管理を行う側に対して以下の設定を行います 1. [Systemwalkerコンソール]-[ 監視 ] を選択します 2. 対象となる部門フォルダを選択し [ 操作 ] メニューから [ 指定オブジェクト ]-[ プロキシの設定 ] を選択します [ ポリシー配付 ( 環境設定 )] ダイアログボックスが表示されます 32

41 4.2 運用管理サーバの設定 3. 以下の項目を設定し [OK] ボタンをクリックします [ ポリシー配付のポート番号 ] DMZ 内のサーバがポリシーの受信用として使用するポート番号を指定します DMZ 内のサーバでポリシー受信用ポート番号を変更した場合は 変更内容と同じポート番号を設定してください プロキシを使用する場合は特に変更する必要はありません 省略した場合 ポート番号 5968を使用します [ プロキシを使用する ] DMZ 環境へポリシー配付を行う場合に プロキシサーバを使用するかどうかを指定します [ プロキシサーバ ] プロキシサーバのホスト名 またはIPアドレスを指定します [ プロキシサーバのポート番号 ] プロキシサーバのポート番号を指定します 省略した場合 8080ポートを使用します [ 基本認証を使用する ] プロキシサーバに対し 認証を行うかどうかを指定します [ ユーザ名 ] プロキシサーバと認証を行うユーザ名を256 文字以内で指定します 省略した場合 プロキシサーバと認証を行いません [ パスワード ] プロキシサーバと認証を行うユーザのパスワードを指定します 省略した場合 パスワードなしで認証を行います ポリシー配付時のポート番号とプロキシサーバの設定は 部門フォルダ またはDMZ 環境内の業務サーバに対して行うことができます 部門フォルダ およびDMZ 環境の業務サーバの両方に設定が行われていた場合は 業務サーバの指定が有効になります DMZ 上で動作する業務サーバがUXP/DSの場合 プロキシを経由したポリシー配付は行うことができません 33

42 第 4 章導入 4.3 業務サーバの設定 業務サーバ側で行う設定について以下に説明します Systemwalker Centric Manager のインストール Systemwalker Centric Managerをインストールします インストール手順については Systemwalker Centric Manager 導入手引書 を参照してください - 自ホスト名取得方法の設定では [DNSを使用した完全修飾ホスト名 ] を選択します - イベントの通知は で行うため インストール時のイベント通知先の設定で 上位サーバを指定する必要はありません - インストール時にイベント通知の接続方法を変更する必要はありません ([ 必要時接続 ] 指定でインストールしてください ) 34

43 4.3 業務サーバの設定 使用しないサービス機能の抑止方法 Systemwalker Centric Managerのサービス機能は 初期値ではシステム起動時に起動するように設定されています 使用しないサービス機能は 停止 ( 抑止 ) しておくことを推奨します 各機能の抑止方法を以下に示します 抑止する機能に応じて参照してください Windows 版の場合 各機能を停止する場合の設定手順を以下に示します 1. 以下のコマンドを実行し Systemwalker Centric Managerを停止します pcentricmgr 2. 以下の定義ファイルを編集します 定義内容については 後述の表を参照してください Systemwalke \mpwalker.dm\mpcmtool\service\ini\usercmgr.ini 3. 以下のコマンドを実行します 以下のコマンドを実行すると USERCMGR.iniファイルに記述されているRUN( 起動 ) またはSUP( 起動抑止 ) を コントロールパネルで表示されるサービスのスタートアップに反映します MpSetSRV 4. 以下のコマンドを実行し Systemwalker Centric Managerを起動します scentricmgr 各機能の概要 定義ファイル および定義内容については以下の表を参照してください 機能機能概要定義ファイル / 定義内容 インテリジェントサービス イベントアクションで起動される 同期スクリプトの制御機能 Windows 版では インテリジェントサービス機能を停止することができません 資源配付 資源をサーバ クライアン[ 定義内容 1] トに配付する機能 修正前 : RUN, Systemwalker MpDrms, DRMS 修正後 : SUP, Systemwalker MpDrms, DRMS [ 定義内容 2] 修正前 : RUN, Systemwalker MpDrmsFsd, MpDrmsFsd 修正後 : SUP, Systemwalker MpDrmsFsd, MpDrmsFsd 性能監視 サーバ性能の監視機能 [ 定義内容 ] 修正前 : RUN, Systemwalker MpTrfExA, MpTrfExA 修正後 : SUP, Systemwalker MpTrfExA, MpTrfExA アプリケーション管理 セキュリティ監視 アプリケーション ( プロセス ワークユニット ) の稼働 性能監視を行う機能 [ 定義内容 ] 修正前 : RUN, Systemwalker Mpapagt, Mpapagt 修正後 : SUP, Systemwalker Mpapagt, Mpapagt インターネットサーバへ [ 定義内容 ] のアタックを監視する機修正前 : RUN, Systemwalker MpNsAgt, MpNsAgt 能修正後 : SUP, Systemwalker MpNsAgt, MpNsAgt 35

44 第 4 章導入 UNIX 版の場合 各機能を停止する場合の設定手順を以下に示します 1. 以下のコマンドを実行し Systemwalker Centric Managerを停止します /opt/systemwalker/bin/pcentricmgr 2. 以下の定義ファイルを編集します 停止行頭に # を付加し コメントアウト ) 定義内容については 後述の表を参照してください /etc/opt/fjsvftlc/daemon/custom/rc3.ini 3. 以下のコマンドを実行し Systemwalker Centric Managerを起動します /opt/systemwalker/bin/scentricmgr 各機能の概要 定義ファイル および定義内容については以下の表を参照してください 機能機能概要定義ファイル / 定義内容 インテリジェントサービス 資源配付 イベントアクションで起動される 同期スクリプトの制御機能 資源をサーバ クライアントに配付する機能 [ 定義内容 ] #DAEMON02="/opt/FJSVssc/bin/mpscsv start" [scentricmgr コマンドで起動しない場合 ] [ 定義内容 ] #DAEMON1="/opt/FJSVmpsdl/sys/drmsd -s" [ システム起動時に起動しない場合 ] 以下のファイル ( シンボリックリンク ) を削除 またはリネームします /etc/rc2.d/s76drmsiapl /etc/rc2.d/sb0strdrms 性能監視 サーバ性能の監視機能 [ 定義内容 ] #DAEMON20="/opt/FJSVspmex/etc/rc/swpmexa start" (*2) アプリケーション管理 アプリケーション ( プロセス ワークユニット ) の稼働 性能監視を行う機能 [ 定義内容 ] #DAEMON05="/opt/FJSVsapag/opt/FJSVsapag.sh start" セキュリテインターネットサーバ [ 定義内容 ] ィ監視へのアタックを監視す #DAEMON07="/opt/FJSVsisag/bin/mpisastart" る機能 (*2):SNMPエージェント起動時に 拡張エージェントが起動されるため 拡張エージェントを起動させない設定も行う必要があります /etc/snmp/conf/mptrfexagt.rsrcのシンボリックを削除します cd /etc/snmp/conf rm -f./mptrfexagt.rsrc また 拡張エージェントを起動させる設定に戻す場合は 以下のスクリプトを実行します cd /opt/fjsvspmex/etc/rc sh setupsea.sh 36

45 4.3 業務サーバの設定 イベントをメールで通知するための設定 業務サーバに対して イベント通知で使用するメールサーバを定義します 1. 運用管理サーバ または運用管理クライアントで [Systemwalker Centric Manager]-[ 環境設定 ]-[ システム監視設定 ] を選択します [ システム監視設定 [ 接続先設定 ]] ダイアログボックスが表示されます 2. 業務サーバのホスト名 ユーザ名 パスワードを入力し [OK] ボタンをクリックします [ システム監視設定 ] ダイアログボックスが表示されます 3. [ イベント監視の条件定義 ] ボタンをクリックします [ イベント監視の条件定義 ] ウィンドウが表示されます 4. [ 環境設定 ] メニューから [ アクション環境設定 ] を選択します [ アクション環境設定 ] ダイアログボックスが表示されます 5. [ メール ] タブを選択します 6. 以下の項目を設定し [OK] ボタンをクリックします [SMTPサーバ名] を送信するSMTPサーバ名を256バイト以内で指定します すでにMpFwSetMailコマンドで設定されている場合は 設定した SMTPサーバ名が入力されています [Fromアドレス] を送信する場合の送信元のメールアドレスを256バイト以内で指定します [ このSMTPサーバは認証が必要 ] 指定したSMTPサーバを使用してメールを送信するためにPOP 認 37

46 第 4 章導入 証が必要な場合に選択し [ 詳細 ] ボタンをクリックします [ 送信メールサーバ ] ダイアログボックスが表示されます 7. 以下の項目を設定し [OK] ボタンをクリックします [POP3サーバ名] ログインするPOP3サーバ名を256バイト以内で設定します SMTPサーバ名と同じ場合は 指定する必要はありません [ アカウント名 ] サーバにログインするためのアカウント名を 64バイト以内で指定します [ パスワード ] サーバにログインするためのパスワードを 64バイト以内で指定します パスワードが必要ない場合は 省略できます 38

47 4.3 業務サーバの設定 8. [ イベント監視の条件定義 ] ウィンドウの [ メッセージ選択定義 ] が ******* の場合 その項目を選択し [ アクション ] メニューから [ アクションの設定 ] を選択します [ アクション定義 ] ダイアログボックスが表示されます 39

48 第 4 章導入 9. [ メール ] タブを選択します 以下の項目を設定し [ 追加 ] ボタンをクリックします - [ メールによる通知を行う ] を選択します - [ 実行方法の指定 ]:[ 常時接続 ] を指定します - [ メール連携用のデータを送信する ] を選択します [ 宛先追加 ] ダイアログボックスが表示されます 10. 以下の項目を設定し [OK] ボタンをクリックします [ アドレス指定 ] を選択します [ アドレス ] メール送信先アドレスを入力します [ メール種別 ] [ ] を選択します 業務サーバがUNIX 版の場合に イベントをメールで通知するための設定 を行うには 運用管理クライアントが必要です メール連携機能を使用してメッセージを通知する場合 [ 通信環境定義 ] ダイアログボックスのメッセージ送信先システムの定義は不要です 文字コードがUTF-8のサーバ (Linux 版の場合 ) で メール連携機能を使用してイベントを通知した場合 運用管理サーバでは 文字コードがEUC のノードとしてノード登録されます 40

49 4.3 業務サーバの設定 イベント通知の確認 opfmtコマンドを実行し イベントが発生することを確認します コマンドの詳細は Systemwalker Centric Manager リファレンスマニュアル を参照してください 以下に使用例を示します [ 使用例 ] 1. opfmtコマンドを実行します opfmt l LABEL s ERROR test message 2. [Systemwalkerコンソール] に以下の通知メッセージが表示されることを確認します LABEL: ERROR: test message 性能監視を行うための設定 性能監視を行うためには システム性能収集エージェントのセットアップを行います SNMPエージェントなしで動作させるために 以下のセットアップコマンドを実行してください この設定はUNIX 版だけで必要な設定になります sh /opt/fjsvspmex/etc/rc/setupdmz.sh また 性能監視の定義をポリシー配付する必要があります ポリシー配付については ポリシー配付の環境設定 を参照してください ポリシーの定義と配付の手順については Systemwalker Centric Manager 使用手引書監視機能編 を参照してください 41

50 第 4 章導入 4.4 資源配付を行うための設定 資源配付を行うための設定について以下に説明します 以下の設定は 資源配付を利用するすべてのサーバ ( 運用管理サーバ 業務サーバなど ) で必要になります HTTPS で通信する場合 HTTPSで通信する場合の設定については A.3 SSLを使用して資源配付を行う を参照してください HTTP で通信する場合 HTTPで通信する場合の設定手順を以下に示します 1. servicesファイルのサービス / エントリを 以下のように変更します drmshs( サーバ-サーバ間 :HTTP) servicesファイルの格納先は以下のとおりです [Windows 版の場合 ] Window \system32\drivers\etc\services [UNIX 版の場合 ] /etc/services 2. 以下オプションを設定し DRMS 編集ファイルを変更します http_server = YES serverprotocol = HTTP DRMS 編集ファイルの格納先は以下のとおりです [Windows 版の場合 ] Systemwalk \mpwalker.dm\drmssv\etc\drms.dat [UNIX 版の場合 ] /opt/fjsvmpsdl/etc/drmsrc 3. 以下のコマンドを実行し 資源配付のデーモン ( サービス ) を再起動します [Windows 版の場合 ] (Administrators 権限が必要です ) drms -p ( 強制停止 ) drms -s ( 起動 ) [UNIX 版の場合 ] (root 権限が必要です ) drmsd -f ( 通常停止 ) drmsd -s ( 起動 ) 42

51 4.5 インベントリ管理を行うための設定 4.5 インベントリ管理を行うための設定 インベントリ管理を行うための設定について以下に説明します HTTP/HTTPS の設定 HTTP/HTTPSの設定は インベントリ管理を利用するすべてのサーバ ( 運用管理サーバ 業務サーバなど ) で必要になります 設定方法については 4.4 資源配付を行うための設定 を参照してください すでに 設定済みの場合は 本設定を行う必要はありません インベントリ通知スケジュールの定義 業務サーバでインベントリ情報を中継するために 運用管理クライアント または運用管理サーバで 以下の操作を行い 業務サーバを定義します 1. [Systemwalker Centric Manager]-[ 資源配付 ] を選択します 2. [ 対象システム ] サブウィンドウから インベントリ情報を中継するサーバを選択します 選択可能なサーバがない場合は サーバの追加を行ってください サーバの追加 およびインベントリ管理の詳細設定については Systemwalker Centric Manager 使用手引書資源配付機能編 を参照してください 3. [ 設定 ] メニューから [ ポリシー ]-[ サーバ環境 ] を選択します [ 資源配付サーバ環境設定 ] ダイアログボックスが表示されます 43

52 第 4 章導入 4. [ 全般 ] タブを選択し 以下の手順で通知スケジュールの定義を格納するファイルのパス名を指定します a) [ オプション ] のツリーから [ 運用 ]-[schedule] アイコンを選択します b) [ 値 ] に通知スケジュールの定義を格納するファイルのパス名を指定し [OK] ボタンをクリックします ここでは 以下を指定します c:\win32app\mpwalker.dm\mpdrmssv\etc\schedule.txt 44

53 4.5 インベントリ管理を行うための設定 5. [ 通知スケジュール ] タブを選択し インベントリ情報を通知する時間や通知先を定義します ここでは以下のように指定し [ 追加 ] ボタンをクリックします - [ 機能種別 ]: インベントリ情報通知 - [ 通信種別 ]:http - [ 通知契機 ]: 毎週月曜 22 時 00 分 - [ 通知先ノード名 ]: [ 資源配付サーバ環境設定 - 設定情報登録 ] ダイアログボックスが表示されます 6. 登録を開始する場合は [OK] ボタンをクリックします [ 設定情報登録 ] ダイアログボックスが表示されます 45

54 第 4 章導入 7. [OK] ボタンを選択し 業務サーバの設定情報の登録を完了します 46

55 4.5 インベントリ管理を行うための設定 通知スケジュール定義の配付 以下の手順で 業務サーバに通知スケジュール定義を配付します 操作手順の詳細は以下で説明します 1. 通知スケジュール定義をサーバに配付します 2. スケジュール定義の配付状況を確認します 通知スケジュール定義をサーバに配付する運用管理クライアント 運用管理サーバで以下の操作を行います 1. [Systemwalker Centric Manager]-[ 資源配付 ] を選択します 2. [ メンテナンス ] サブウィンドウを選択し [ アクション ] メニューから [ メンテナンス作業の追加 ]-[ メンテナンス版数 ] を選択します [ メンテナンス作業 ( メンテナンス版数 ) の追加 ] ダイアログボックスが表示されます 47

56 第 4 章導入 3. 以下の項目を指定し [OK] ボタンをクリックします - [ 共通 ] オプションボタンを選択します - [ 業務 ]: INITJOB [ * 共通メンテナンス版数 * RMS00000' のプロパティ ] ダイアログボックスが表示されます 4. [ サーバ ] タブを選択し [ 追加 ] ボタンをクリックします [ システムの選択 ] ダイアログボックスが表示されます 48

57 4.5 インベントリ管理を行うための設定 5. 宛先となるサーバを指定し [OK] ボタンをクリックします ここでは [ システム一覧 ]: Server.A.com を指定します [ 宛先の追加 ] ダイアログボックスが表示されます 6. 以下の項目を選択し [OK] ボタンをクリックします - [ 登録範囲 ]:[ 指定サーバのみ ] [ * 共通メンテナンス版数 * RMS00001' のプロパティ ] ダイアログボックスが表示されます 49

58 第 4 章導入 7. [ 予定日時 ] タブを選択し 適用予定日時を定義します ここでは 以下の項目を指定し [OK] ボタンをクリックします - [ 適用種別 ]: 即時 [ メンテナンス ] サブウィンドウに 共通メンテナンス版数 が追加されます 50

59 4.5 インベントリ管理を行うための設定 8. [* 共通メンテナンス版数 * RMS00000] を選択し [ アクション ] メニューから [ 資源の配付 ] を選択します [ 資源の配付 ] ダイアログボックスが表示されます 51

60 第 4 章導入 9. 設定内容を確認し [OK] ボタンをクリックします [ 資源配付 ] ウィンドウの左下部分に 資源の配付が正常に終了しました というメッセージが表示されます また [ メンテナンス ] サブウィンドウの [ 状況 ] 欄に 運用準備中 と表示されます 52

61 4.5 インベントリ管理を行うための設定 スケジュール定義の配付状況を確認する運用管理サーバで次の操作を行います 1. [ 資源配付 ] ウィンドウを起動します 2. [ 対象システム ] サブウィンドウで Server.A.com を選択し [ アクション ] メニューから [ 指定サーバの状況検索 ( 全情報 )] を選択します [ メンテナンス ] サブウィンドウで 配付したメンテナンス版数に印が表示され [ 状況 ] 欄が 運用準備中 から 運用可能 に変わります 資源配付では 定義した時刻から30 分間の任意の時刻にインベントリ情報が通知されます 53

62 第 4 章導入 インベントリ情報の参照 運用管理サーバで以下の操作を行い 業務サーバのインベントリ情報を参照します 1. [Systemwalker Centric Manager]-[ 資源配付 ] を選択します 2. [ 対象システム ] サブウィンドウで配付状況を確認するサーバを選択し [ 表示 ] メニューから [ インベントリ ] を選択します [ インベントリ情報 ] ダイアログボックスが表示されます インベントリ情報は 収集した情報が 業務サーバから運用管理サーバに通知されたあとに参照できます 定義を行った直後では情報が参照できない場合があります 54

63 4.5 インベントリ管理を行うための設定 インベントリ情報の収集 運用管理サーバで以下の操作を行い インベントリ情報を収集します 1. [ 資源配付 ] ウィンドウを起動します 2. [ 対象システム ] サブウィンドウで インベントリ情報を収集するサーバを選択します 3. [ アクション ] メニューから [ インベントリの収集 ] を選択し インベントリの収集を行います インベントリ情報は drmspullコマンドを使用して収集することも可能です drmspullコマンドについては Systemwalker Centric Manager リファレンスマニュアル を参照してください 55

64 第 4 章導入 4.6 監視を行うための設定 監視を行うための設定について以下に説明します サービスの稼働監視 サービスの稼働監視は 運用管理サーバで サービス監視を行う Systemwalkerスクリプトを起動し DMZ 内の監視対象サーバに対してHTTPポーリングなどを行い 稼働状態を監視します サービスの稼働監視を行うための設定手順を以下に示します 1. スクリプトファイルを編集します 以下のサンプルスクリプトファイルを参照してください なお サンプルスクリプトのユーザカスタマイズが可能な個所の詳細は 付録 C サンプルスクリプト ( ユーザカスタマイズ可能な部分 ) を参照してください [Windows 版の場合 ] Systemwalke \mpwalker.dm\mpsc\sample\snmsmt.swt [UNIX 版の場合 ] /etc/opt/fjsvssc/sample/snmsmt.swt 編集可能な項目は以下のとおりです - 監視間隔 - 被監視ホスト - サービス名 - サービスのポート番号 - レスポンス時間 - リトライ回数 - チューニングパラメタ - イベント対処フラグ 例 被監視ホスト (host1) で動作するSMTPサービスから応答がない場合 運用管理サーバへSMTPサービス停止イベントを通知します 修正場所と修正内容を以下に示します [ 監視間隔 ( 分 )] set ObservationInterval {5} [ 被監視ホスト サービス名 サービスのポート番号 レスポンス時間 ( 分 ) リトライ回数( 回 ) チューニングパラメタ イベント対処フラグ (ON/OFF)] lappend {host1, SMTP, 25, 5, 0, subhost, OFF } 56

65 4.6 監視を行うための設定 2. 登録する稼働監視スクリプトファイルを 共通管理用ディレクトリにコピーします 登録するスクリプトファイルの格納先は以下のとおりです [Windows 版の場合 ] Systemwalke \mpwalker.dm\mpsc\sample\snmsmt.swt [UNIX 版の場合 ] /etc/opt/fjsvssc/sample/snmsmt.swt 上記のスクリプトファイルを以下のディレクトリにコピーします [Windows 版の場合 ] Systemwalke \mpwalker.dm\mpsc\script\common\ 任意のディレクトリ [UNIX 版の場合 ] /var/opt/fjsvssc/script/common/ 任意のディレクトリ 3. スクリプトを登録します [Systemwalkerコンソール] の [ ポリシー ] メニューから [ ポリシーの定義 ]-[ インテリジェントサービス ]-[ スクリプトの管理 ] を選択します [ スクリプト管理 ] ダイアログボックスが表示されます スクリプトの登録方法は Systemwalker Centric Manager スクリプトガイド を参照してください 57

66 第 4 章導入 4. 運用管理サーバ以外にスクリプトを登録する場合 監視ノードに対して [ ポリシー ] メニューから [ インテリジェントサービス ]-[ フォルダ ] または [ ノード ] を選択します [ インテリジェントサービス動作設定 ] ダイアログボックスが表示されます 5. スクリプトをポリシー配付します スクリプトは mpscsctlコマンドを使用して 登録することも可能です mpscsctlコマンドについては Systemwalker Centric Manager リファレンスマニュアル を参照してください 6. 以下のスクリプト実行コマンドを実行し スクリプトを起動します swctclsh 登録したスクリプトファイル名また サービスを停止する場合は以下のスクリプト停止コマンドを実行し スクリプトを停止します stpswctcl 停止するスクリプトファイル名コマンドの詳細は Systemwalker Centric Manager リファレンスマニュアル を参照してください なお スクリプトファイルの起動については スクリプト実行コマンドを実行する方法以外に Systemwalkerコンソールでのスクリプト登録時に自動起動で登録する方法もあります 自動起動の設定方法については Systemwalker Centric Manager スクリプトガイド を参照してください 58

67 4.6 監視を行うための設定 プロキシサーバを経由し HTTP またはHTTPS 通信でサービス監視を行うことはできません サービスの稼働監視を実行する場合は以下の権限が必要になります - Administrators 権限 (Windows 版 ) - システム管理者 ( スーパ ユーザ ) 権限 (UNIX 版 ) アプリケーションの稼働監視 アプリケーションの稼働監視を行うための設定について説明します 運用管理サーバ または運用管理クライアントから設定します 各サーバでの作業内容は以下のとおりです 詳細については 以降で説明します 運用管理サーバ / 運用管理クライアント監視対象アプリケーションの作成と業務への登録スクリプトの配付 運用管理サーバ監視対象アプリケーションの定義 運用管理サーバ側での設定 1. [Systemwalkerコンソール]-[ 編集 ] で 監視対象のアプリケーションを作成し 運用管理サーバへ登録します 業務サーバ上で監視対象となる WWWサーバアプリケーション (Apache) の作成例を以下に示します [Windows 版の場合 ] c:\apache\apache.exe を監視する場合実行ファイル登録基本情報 - 表示名 :Apache 基本情報 - 実行ファイル名 :apache.exe 基本情報 -バージョン:1.3 アプリケーションの定義インストール情報 -インストールディレクトリ:c:\apache インストール情報 -インストール先ホスト名:host1 59

68 第 4 章導入 [UNIX 版の場合 ] 業務サーバ上で動作するApacheの実行アプリケーションのhttpdプロセスを監視します ps -efで表示したときに /usr/local/apache/httpd と表示される場合実行ファイル登録基本情報 - 表示名 :Apache 基本情報 - 実行ファイル名 :httpd 基本情報 -バージョン:1.3 アプリケーションの定義インストール情報 -インストールディレクトリ: /usr/local/apache/ インストール情報 -インストール先ホスト名:host2 アプリケーション作成の詳細は Systemwalker Centric Manager 使用手引書監視機能編 を参照してください 2. 作成したアプリケーションを 監視を行う業務ツリーに登録します a) [Systemwalkerコンソール]-[ 編集 ] を選択します b) ツリー選択ボックスから [ 業務管理 ] を選択します c) [ ファイル ] メニューから [ 監視ツリーの選択 ] を選択し アプリケーションを監視するツリーを選択します ツリーがない場合は ツリーを作成します ここでは ツリー作成の手順を説明します [ ファイル ] メニューから [ 監視ツリーの作成...] を選択します [ 監視ツリーの作成 - 業務管理 ] ダイアログボックスが表示されます d) 以下の項目を設定し [OK] ボタンをクリックします [ 表示名 ]: ここでは A 社業務 と入力します [ 作成方法 ]:[ 新規作成 ] を選択します 60

69 4.6 監視を行うための設定 e) 業務を作成します ツリーの頂点 または任意の業務フォルダを選択し [ オブジェクト ] メニューから [ 業務の作成...] を選択します [ 業務作成 ] ダイアログボックスが表示されます f) [ 基本情報 ] タブを選択します 以下の項目を設定し [OK] ボタンをクリックします [ 表示名 ]: ここでは 経理 と入力します 61

70 第 4 章導入 3. 作成した業務に アプリケーションを登録します a) [Systemwalkerコンソール] で [ オブジェクト ] メニューから [ 追加 ]-[ アプリケーションの追加 ] を選択します [ パッケージ追加 ] ダイアログボックスが表示されます b) [ フォルダ ]-[ アプリケーション ]-[ 実行ファイル一覧 ] から 業務に追加するアプリケーションを選択し [ 追加 ] ボタンをクリックします 選択したアプリケーションが [ 追加するオブジェクト一覧 ] に追加されます c) [ 追加するオブジェクト一覧 ] に追加されたことを確認し [OK] ボタンをクリックします [Systemwalkerコンソール ] に 業務へ追加したアプリケーションが表示されます 4. 登録するスクリプトファイルと監視対象アプリケーションの情報を設定するための定義ファイルを 共通管理用ディレクトリにコピーします すでに定義ファイルを作成している場合は コピーすると定義内容が失われるので注意してください 登録するスクリプトファイルの格納先は以下のとおりです [Windows 版の場合 ] Systemwalke \mpwalker.dm\mpsc\sample\apamonitorappli.swt 62

71 4.6 監視を行うための設定 [UNIX 版の場合 ] /etc/opt/fjsvssc/sample/apamonitorappli.swt 登録する定義ファイルの格納先は以下のとおりです [Windows 版の場合 ] Systemwalke \mpwalker.dm\mpsc\sample\apamonitorappli.ini.swt [UNIX 版の場合 ] /etc/opt/fjsvssc/sample/apamonitorappli.ini.swt 上記のスクリプトファイルと定義ファイルを 以下のディレクトリにコピーします スクリプトファイルと定義ファイルをコピーするディレクトリは 必ず同じ場所にしてください [Windows 版の場合 ] Systemwalke \mpwalker.dm\mpsc\script\common\ 任意のディレクトリ [UNIX 版の場合 ] /var/opt/fjsvssc/script/common/ 任意のディレクトリ 5. 監視対象アプリケーションの情報を apamonitorappli.ini.swtに定義します [ 稼働監視間隔 ] MonitorInterval= 稼働監視間隔監視間隔 ( 分 ) を入力します すべてのノード共通の値です 値は 1~1439(1 分から23 時間 59 分 ) の範囲で指定してください ノードごとに個別に設定する場合は ノードの設定のあとに監視間隔を設定できるようになっています ここで監視間隔の設定と ノードごとの監視間隔の設定が両方とも行われた場合は ノードごとの設定が優先されます 監視間隔 ( 分 ) を入力しない場合 デフォルトで 30( 分 ) が設定されます [ ノードの設定 ] < ノード名 > 複数のノード上にある同じアプリケーションを監視する場合 ノードの設定は必要ありません 項目をすべて削除してください また 複数のノードで個別のアプリケーションを監視する場合はノード名を <> の中に設定し ノードごとに監視するアプリケーションを定義してください 複数ノードで共通のアプリケーション監視する場合もノードごとに定義してください ここで設定したノード名を5.-d). スクリプトの自動起動機能の設定 ([ 定義詳細 ]-[ パラメタ ]) に設定します [ 稼働監視間隔 ] MonitorInterval= 稼働監視間隔監視間隔 ( 分 ) を入力します ここで設定する稼働監視間隔は ノードごとの個別の設定です 値は1~1439(1 分から23 時間 59 分 ) の範囲で指定してください 63

72 第 4 章導入 監視間隔 ( 分 ) を入力しない場合 デフォルトで 30( 分 ) が設定されます [ 監視対象アプリケーションの区切り ] [Policy_x] 監視するアプリケーションの区切りです x には1から始まる連番を設定してください [ 監視対象アプリケーションのパス ] App_Path= 監視対象のパス監視するアプリケーションのパスを設定します [ 表示名 ] Disp_Name= 表示名アプリケーションの表示名を入力してください 運用管理サーバでアプリケーション定義を行ったときに 設定した表示名と同じものを設定することを推奨します ここで設定した表示名が 稼働違反発生時の違反イベントに埋め込まれます 設定しなかった場合は ファイル名が自動で入ります [ プロセス数下限値 ] lower= プロセス数下限値監視するアプリケーションの最低起動しているプロセス数を設定します ここで設定したプロセス数を下回ると稼働違反イベントが発生します 1~999の間で設定してください また 設定する値は プロセス数上限値を超えないようにしてください プロセス数下限値を設定しない場合 プロセス数下限値監視は行われません [ プロセス数上限値 ] upper= プロセス数上限値監視するアプリケーションプロセス数の最大値を 1~999の間で設定してください ここで設定したプロセス数を上回ると稼働違反イベントが発生します 設定する値は プロセス数下限値より大きい値を設定してください プロセス数上限値を設定しない場合 プロセス数上限値監視は行われません 例 以下に定義例を示します なお 定義するアプリケーションは 運用管理サーバ側の設定手順 1. で作成され 設定手順 2. で業務ツリーに登録されている必要があります [Windows 版の場合 ] 監視する条件は以下のとおりです ノード node_1 で c:\apache\apache1.exe ( 表示名 :Apache1 ) と c:\apache\apache2.exe ( 表示名 :Apache2 プロセス数下限値 2 上限値 3) を 監視間隔 10 64

73 4.6 監視を行うための設定 分で監視 ノード node_2 で c:\apache\apache3.exe ( 表示名 :Apache3 プロセス数下限値 3) を監視間隔 30 分で監視 [Script_MonitorApplication] <node_1> MonitorInterval=10 [Policy_1] App_Path=c:\apache\apache1.exe Disp_Name=Apache1 [Policy_2] App_Path=c:\apache\apache2.exe Disp_Name=Apache2 lower=2 upper=3 <node_2> MonitorInterval=30 [Policy_1] App_Path=c:\apache\apache3.exe Disp_Name=Apache3 lower=3 [UNIX 版の場合 ] 監視する条件は以下のとおりです ノード node_1 で /usr/local/apache/httpd ( 表示名 :Apache) を監視間隔 10 分で監視 ps -efで表示したときに /usr/local/apache/httpd と表示される [Script_MonitorApplication] MonitorInterval=10 <node_1> [Policy_1] App_Path=/usr/local/apache/httpd Disp_Name=Apache 定義ファイルを作成する際の注意事項 定義ファイルの指定項目のうち App_Path= は必ず指定してください Disp_Name= lower= および upper= は省略できますが 省略する場合は Disp_Name= lower= および upper= の部分も含めて省略してください apamonitorappli.ini.swt( 定義ファイル ) の App_Path= に定義する監視対象アプリケーションは 運用管理サーバの設定で定義した監視対象アプリケーションと アプリケーション名 およびインストールパスなどが大文字小文字も含めて一致するように定義してください 65

74 第 4 章導入 監視対象のアプリケーションを変更する場合は 運用管理サーバ側で上記の定義ファイルを編集し ポリシーの再配付を行ってください 6. アプリケーションの稼働監視を行うためのスクリプトファイルと監視対象アプリケーションの情報を設定するための定義ファイルを スクリプト制御に登録し 監視対象の業務サーバへ配付します 以下に手順を示します a) スクリプトと定義ファイルを登録します [Systemwalkerコンソール] の [ ポリシー ] メニューから [ ポリシーの定義 ]-[ インテリジェントサービス ]-[ スクリプトの管理 ] を選択します [ スクリプト管理 ] ダイアログボックスが表示されます 66

75 4.6 監視を行うための設定 b) [ 追加 ] ボタンをクリックします [ スクリプト追加 ] ダイアログボックスが表示されます c) スクリプトファイルを選択し [OK] ボタンをクリックします apamonitorappli.swt apamonitorappli.ini.swt [ スクリプト管理 ] ダイアログボックスが表示されます d) [OK] ボタンをクリックします 7. アプリケーションの稼働監視を行うスクリプトを使用するために スクリプトの自動起動機能の設定を行います - [ 運用管理サーバでアプリケーションの監視を行う場合 ] [ ポリシー ] メニューから [ ポリシーの定義 ]-[ インテリジェントサービス ]-[ 運用管理サーバ ] を選択します - [ 運用管理サーバ以外でアプリケーションの監視を行う場合 ] 67

76 第 4 章導入 配付先のノード / フォルダを選択し [ ポリシー ] メニューから [ ポリシーの定義 ]-[ インテリジェントサービス ]-[ フォルダ ] または [ ノード ] を選択します [ インテリジェントサービス動作設定 ] ダイアログボックスが表示されます a) [ 単体起動型スクリプト一覧 ] から apamonitorappli.swt を選択し [ 変更 ] ボタンをクリックします [ スクリプト自動起動設定 ] ダイアログボックスが表示されます 68

77 4.6 監視を行うための設定 b) [ 自動起動する ] を選択し [ 定義詳細 ] で以下のように指定します [ パラメタ ] 監視対象アプリケーションの情報を特定するため 定義ファイルで設定したノード名を入力します すべての監視ノードに共通の設定で監視を行う場合には ここでの設定は必要ありません [ 起動時のディレクトリ ] 必ず [ スクリプトが格納されているディレクトリ ] を選択してください 監視対象アプリケーションの情報を設定するための定義ファイルで <node_1> と設定した場合の定義例を以下に示します 自動起動の設定方法については Systemwalker Centric Manager スクリプトガイド を参照してください [ パラメタ ] node_1 [ 起動時のディレクトリ ] スクリプトが格納されているディレクトリ c) [OK] ボタンをクリックします [ インテリジェントサービス動作設定 ( 運用管理サーバ )] メッセージボックスが表示されます d) [ はい ] ボタンをクリックします e) [ ポリシー ] メニューから [ ポリシーの配付...] を選択します [ ポリシーの配付 ] ダイアログボックスが表示されます f) 以下の項目を指定し [OK] ボタンをクリックします [ ポリシーを適用するタイミング ] [ すぐに適用する ( 配付先のサービスを再起動する )] 69

78 第 4 章導入 WWW サーバのセキュリティ監視 WWWサーバのセキュリティ監視を行う場合 以下の条件設定が必要です セキュリティ監視 監視項目の設定 - 負荷アタックの検出 - ユーザ認証へのハックの検出 - 不正アクセスの検出 連続したアラーム通知の抑止 以下に設定手順を示します 1. [Systemwalkerコンソール] を起動します 2. [ ツリー選択 ] コンボボックスから 監視対象のノードが存在するツリーを選択します 3. [ ノード管理 ] ツリー または [ 業務管理 ] ツリーを選択した場合は [ ファイル ] メニューから [ 監視ツリーの選択 ] を選択します [ 監視ツリーの選択 ] ダイアログボックスが表示されます 70

79 4.6 監視を行うための設定 4. 選択したツリーの中から監視対象のノードを選択し [ ポリシー ] メニューから [ ポリシーの定義 ]-[ インターネットサーバ ]-[ ノード ] を選択します [ インターネットサーバ管理 - 動作環境設定 ] ダイアログボックスが表示されます 5. 以下の項目を設定し [OK] ボタンをクリックします [ セキュリティ監視 ] WWWサーバのセキュリティ監視を行うか指定します [ 負荷アタックの検出 ] [ 監視間隔 ] WWWサーバへの負荷アタックを検出する場合の監視間隔を指定します 1~60( 分 ) の範囲で 1 分刻みで指定します [ しきい値 ] WWWサーバへの負荷アタックを検出する場合のしきい値を指定します 1~10000( 回 ) の範囲で指定します 71

80 第 4 章導入 [ ユーザ認証へのハックの検出 ] [ 監視間隔 ] WWWサーバへのユーザ認証のハックを検出する場合の監視間隔を指定します 1~60( 分 ) の範囲で 1 分刻みで指定します [ しきい値 ] WWWサーバへのユーザ認証へのハックを検出する場合のしきい値を指定します 1~1000( 回 ) の範囲で指定します [ 不正アクセスの検出 ] [ 監視間隔 ] WWWサーバへの不正アクセスを検出する場合の監視間隔を指定します 1~60( 分 ) の範囲で 1 分刻みで指定します [ しきい値 ] WWWサーバへの不正アクセスを検出する場合のしきい値を指定します 1~1000( 回 ) の範囲で指定します [ 連続したアラーム通知の抑止 ] 負荷アタック / ユーザ認証へのハック / 不正アクセスの回数が 設定したしきい値を超えると [Systemwalkerコンソール] にアラームが通知されます このアラームが大量に表示されるのを抑止したい場合 抑止する時間を指定します 1~24( 時間 ) の範囲で 1 時間刻みで指定します 6. 設定したセキュリティ監視の定義を 運用管理サーバ 業務サーバにポリシー配付します 72

81 4.7 リモート操作を行うための設定 4.7 リモート操作を行うための設定 リモート操作を行うための設定について説明します リモート操作を行うには 運用管理サーバからDMZ 上の業務サーバに対して [TCP1513] のプロトコルを通すようにFirewallの設定を行います また Live Help Connectを経由する場合は [TCP1513] [TCP1514] [TCP1657] を通すように設定します Firewallの設定については Firewallのマニュアルを参照してください Live Help Connect を使用する場合の認証設定 Live Help Connectを使用する場合の設定について説明します Live Help Connectを使用する場合 管理元の [ リモート操作エキスパート ] および管理されるアウトソーシング先の [ リモート操作クライアント ] に対して Live Help Connectへのアクセス権を与える必要があります Live Help Connectで [ 認証 ] を作成し 管理元の [ リモート操作エキスパート ] および管理されるアウトソーシング先の [ リモート操作クライアント ] に配布します 認証設定の手順を以下に示します 設定手順の詳細については Live Help Connect 管理者ガイド を参照してください 1. Live Help Connectがインストールされたコンピュータで [ スタート ] メニューから [ プログラム ]-[Live Help]-[Connect 管理 ] を選択します [Live Help Connect 管理 ] ウィンドウが表示されます 73

82 第 4 章導入 2. [ ディスパッチャー ] メニューから [ 接続 ] を選択します [ ディスパッチャー情報 ] ダイアログボックスが表示されます 3. Live Help Connectのホスト名 またはIPアドレスを指定し [OK] ボタンをクリックします [Live Help Connect 管理 ] ウィンドウに 指定したホスト名 またはIPアドレスのタブが表示されます 74

83 4.7 リモート操作を行うための設定 4. [ 表示 ] メニューから [ 認証 ] を選択します [Live Help Connect 管理 ] ウィンドウに認証 IDが表示されます 5. [ 認証 ] メニューから [ 追加 ] を選択し 認証を新規作成します [ 認証の編集 ] ダイアログボックスが表示されます 75

84 第 4 章導入 6. 以下の項目を指定し [OK] ボタンをクリックします - 認証 ID 主 ID 副 ID - セッション権 参加権 開催権 管理権 - 有効期限 [Live Help Connect 管理 ] ウィンドウに作成した認証 IDが表示されます 7. 作成した認証を配布します a) 表示されている認証 IDのリストから 配布する認証 IDを選択し 右クリックします b) 以下の認証ファイルの保存が選択できます Client 配付用に認証ファイルを保存する : 管理されるアウ 76

85 4.7 リモート操作を行うための設定 トソーシング先の [ リモート操作クライアント ]: CLIENTCR.DAT Expert 配付用に認証ファイルを保存する : 管理元の [ リモート操作エキスパート ]:EXPERTCR.DAT [ 名前を付けて保存 ] ダイアログボックスが表示されます c) [ リモート操作エキスパート ] および[ リモート操作クライアント ] のインストールフォルダにそれぞれ格納します 既存の認証ファイル (All.Admin All.Expert All.Client) については セキュリティ上 削除することを推奨します 77

86 第 4 章導入 78

87 第 5 章 運用 本章では DMZ 上でSystemwalker Centric Managerを使用して運用管理を行う場合の運用方法について説明します

88 第 5 章運用 5.1 WWW サーバへコンテンツを配付する 以下の運用モデルを例に コンテンツ配付の運用手順を説明します モデル名称一覧 環境 サーバ名 ホスト名 IPアドレス イントラネット内 運用管理サーバ OMS.intra.A.com 運用管理クライアント OMC.intra.A.com Mailサーバ Mail.intra.A.com DNSサーバ DNS.intra.A.com Firewall FW DMZ 内 Firewall FW Mailサーバ Mail.A.com DNSサーバ DNS.A.com WWWサーバ PROXYサーバ PROXY.A.com

89 5.1 WWW サーバへコンテンツを配付する 図 : 運用モデル 81

90 第 5 章運用 1. プロキシサーバの設定を確認します DMZ 上のプロキシサーバは 中継サーバ上の資源配付のポート番号に データを振り分ける必要があるため リバースプロキシの設定が必要と なります プロキシサーバがInterstage Security Director(InfoProxy) の場 合は [ リバースWWW] の設定が必要です 以下にプロキシサーバのリバースプロキシ (InfoProxyの場合はリバ ースWWW) の設定方法を示します 通信方法 要求種 設定項目 設定内容 サーバ-サ 要求元 プロトコル HTTP ーバ間の HTTP 通信時 サーバ名 プロキシサーバのノード名 またはIPアドレス の設定 ポート番号 プロキシサーバのポート番号 ディレクトリ /drmshs/ 要求先 プロトコル HTTP サーバ名 中継サーバのノード名 またはIPアドレス ポート番号 資源配付のサーバ-サーバ間 HTTPのポート番号 ( 初期値 : 9394) ディレクトリ /drmshs/ 2. 各サーバのservicesファイルのサービス / エントリを以下のように設定 します [ 運用管理サーバ ] drmshs( サーバ-サーバ間 :HTTP) プロキシサーバのポート番号 [ 業務サーバ ] drmshs( サーバ-サーバ間 :HTTP) 9394 WWWサーバへ資源配付を行う場合 ポート番号を80にすることはできません 3. 運用管理クライアント上の [ 資源配付 ] ウィンドウで中継の役割を果たすプロキシサーバを コンテンツの配付先サーバとして登録します 4. 業務サーバで 以下のコマンドを実行します [Windows 版の場合 ] Systemwalke \mpwalker.dm\mpdrmssv\bin\drmsmdfy -a sys -k own -n ノード名 -s 自システム名 [UNIX 版の場合 ] /opt/systemwalker/bin/drmsmdfy -a sys -k own -n ノード名 -s 自システム名ノード名には運用管理サーバで定義しているプロキシサーバのノード名を指定してください 82

91 5.1 WWW サーバへコンテンツを配付する 5. 運用管理サーバからプロキシサーバにコンテンツを配付すると InfoProxyの場合 リバースWWWの設定にしたがって 中継先のWWWサーバにコンテンツが配付されます 6. 運用管理クライアント上の [ 資源配付 ] ウィンドウからオンライン検索を行い 配付結果状況を確認します 83

92 第 5 章運用 5.2 DMZ 上の WWW サーバの稼働を監視する イントラネット内の運用管理サーバから DMZ 上のWWWサーバの稼働を監視する手順について以下に示します 1. [ スクリプト管理 ] のダイアログボックスで WWWサーバの監視を行うスクリプトをDMZ 上の業務サーバに登録します スクリプトの登録方法は Systemwalker Centric Manager スクリプトガイド を参照してください 2. 運用管理サーバ上で スクリプト起動コマンドを実行し WWWサーバの監視を行うスクリプトを起動します 3. 監視を中止する場合は 運用管理サーバ上でスクリプト停止コマンドを実行し 監視を停止します WWWサーバが停止した場合は 運用管理クライアントにイベントが表示され ます モデル名称一覧 環境 サーバ名 ホスト名 IPアドレス イントラネット内 運用管理サーバ OMS.intra.A.com 運用管理クライアント OMC.intra.A.com Mailサーバ Mail.intra.A.com DNSサーバ DNS.intra.A.com Firewall FW DMZ 内 Firewall FW Mailサーバ Mail.A.com DNSサーバ DNS.A.com WWWサーバ PROXYサーバ PROXY.A.com

93 5.2 DMZ 上の WWW サーバの稼働を監視する 図 : 運用モデル 85

94 第 5 章運用 5.3 DMZ 上のサーバからDNSサービスを監視する FirewallでDNSのプロトコル (DOMAIN) の通過が許可されていない場合 DMZ 上のサーバでスクリプトを動作させてDNSサーバの稼働監視を行います DMZ 上のサーバからDNSサービスを監視する作業について以下に示します 1. [ スクリプト管理 ] のダイアログボックスで DNSサーバの監視を行うスクリプトをDMZ 上の業務サーバに登録します スクリプトの登録方法は Systemwalker Centric Manager スクリプトガイド を参照してください 2. DMZ 上の業務サーバで スクリプト起動コマンドを実行し DNSサーバの監視を行うスクリプトを起動します 3. 監視を停止する場合は DMZ 上の業務サーバ上でスクリプト停止コマンドを実行します DNSサーバが停止した場合は 運用管理クライアントにイベントが表示され ます モデル名称一覧 環境 サーバ名 ホスト名 IPアドレス イントラネット内 運用管理サーバ OMS.intra.A.com 運用管理クライアント OMC.intra.A.com Mailサーバ Mail.intra.A.com DNSサーバ DNS.intra.A.com Firewall FW DMZ 内 Firewall FW Mailサーバ Mail.A.com DNSサーバ DNS.A.com WWWサーバ PROXYサーバ PROXY.A.com

95 5.3 DMZ 上のサーバから DNS サービスを監視する 図 : 運用モデル 87

96 第 5 章運用 88

97 A.1 S/MIME SSL を使用するための設定 付録 A S/MIME SSLを使用したデータの暗号化 Systemwalker Centric Managerでは Systemwalker PkiMGRやInfoCAが発行した証明書を S/MIME(Secure MIME) やSSL(Secure Socket Layer) による暗号通信に使用して インターネット環境の安全性を高めることができます また HTTPSサーバの稼働を監視することができます 以下の機能は 証明書管理の機能と連携することにより 安全性を高めています イベント監視 S/MIMEを使用したデータの暗号化により 被監視サーバのイベントを安全に運用管理サーバに通知することができます 資源配付 SSLを使用した認証 データの暗号化により 資源を安全に配付することができます [S/MIME] 米国のRSA Data Security 社が規定したもので 電子メールでの暗号通信を実現するためのものです [SSL] TCP/IPで通信するアプリケーションに対して 安全な通信手段を提供するプロトコルです Systemwalker PkiMGR InfoCA について Systemwalker PkiMGR InfoCAは 証明書発行局 (Certification Authority: 以降 CA 局と略します ) を実現するソフトウェアです CA 局とは メッセージの暗号化や 認証に必要な証明書の発行 および管理をするシステムのことです CA 局は 発行した証明書に自身の電子署名を付加し その証明書が確かにCA 局が発行したものであることを保証します Systemwalker PkiMGR InfoCAでは 証明書 秘密鍵を発行します 秘密鍵は スロットとトークンという概念で管理されます 以下の図は Systemwalker PkiMGRの概要を示しています 89

98 付録 A S/MIME SSL を使用したデータの暗号化 Systemwalker Centric Managerでは CRL( 無効証明書リスト ) の運用はできません Systemwalker Centric Managerでは Oracleを使用した証明書管理環境は 使用できません 90

99 A.1 S/MIME SSL を使用するための設定 A.1 S/MIME SSL を使用するための設定 S/MIME SSLを使用するための手順を以下に示します 1. 秘密鍵 証明書の作成 2. 証明書管理環境定義ファイル (mpcrtmgr.def) の編集 3. 証明書管理環境の作成 :HTTPS サーバの稼働監視を行う場合 証明書 秘密鍵は必要ありません SSLサーバの設定は 送信側 受信側にかかわらず 同じ手順で行います 91

100 付録 A S/MIME SSL を使用したデータの暗号化 A.1.1 秘密鍵 証明書の作成 Systemwalker PkiMGR およびInfoCAを使用して発行する場合に 各機能で必要な秘密鍵と証明書を以下に示します Systemwalker PkiMGR を使用して発行する場合 ( 運用モデルの場合 ) 対象システム 機能 必要な証明書 / 秘密鍵 ファイル 形式 運用管理サーバ S/MIME を使用したイベント監視 SSL を使用した認証 および通信データの暗号化 業務サーバ クライアント S/MIME を使用したイベント監視 SSL を使用した認証 および通信データの暗号化 資源配付クライアントの SSL による認証 運用管理サーバの証明書のCA 局証明書 DER 運用管理サーバの証明書 および秘密 PKCS#12 鍵 業務サーバの証明書 DER 業務サーバの証明書のCA 局証明書 ( ) DER 業務サーバの証明書のCA 局証明書 DER 業務サーバの証明書 および秘密鍵 PKCS#12 運用管理サーバの証明書 DER 運用管理サーバの証明書のCA 局証明書 DER ( ) 業務サーバの証明書のCA 局証明書 DER : 業務サーバと運用管理サーバの証明書の CA 局証明書が異なる場合に必要 Systemwalker Centric Managerでは 自分の証明書として登録できる証明書は 1 台のサーバ ( クライアント ) に1つです 上記の複数の機能を使用する場合は 自システムの証明書として 同じ証明書を使用してください Systemwalker PkiMGRの詳細は Systemwalker PkiMGR 説明書 を参照してください SystemWalker/CentricMGR V5.0L 以前と混在しない環境で使用する場合 SystemWalker/CentricMGR V5.0L20 ( 以降 V5.0L20 ) 以前 または SystemWalker/CentricMGR 5.1( 以降 5.1) 以前と混在しない環境で 証明書を使用する場合は 以下の手順で作成してください CA 局作成時の注意事項 CA 局の初期設定時は エンコード方法として 必ず PrintableString/BMPString を選択してください 92

101 A.1 S/MIME SSL を使用するための設定 秘密鍵を含んだ証明書 証明書 CA 局証明書の発行秘密鍵を含んだ証明書 証明書 CA 局証明書を作成し ファイルに退避します 秘密鍵を含んだ証明書はPKCS#12 形式 証明書とCA 局証明書はDER 形式で発行します Systemwalker Centric Managerで使用できる証明書のタイプを以下に示します 標準 S/MIME SSLサーバ 1. 秘密鍵を含んだ証明書を発行します 電子メールアドレスを必ず指定します 発行後 PKCS#12 形式でダウンロードします 2. CA 局証明書 証明書を取り出します Webの証明書管理画面で証明書を検索し DER 形式でダウンロードします SystemWalker/CentricMGR V5.0L 以前と混在する環境で使用する場合 V5.0L20 以前 5.1 以前と混在する環境で 証明書を使用する場合は 以下の手順で作成してください CA 局作成時の注意事項 CA 局の初期設定時に 以下の項目に注意してください エンコード方法として 必ず PrintableString/BMPString を選択してください 自己署名証明書のバージョンとして V1 を選択してください 秘密鍵 証明書 CA 局証明書の発行 V5.0L 以前では X.509バージョン3 形式の証明書をサポートしていません このため SystemWalker/CentricMGR V5.0L30( 以降 V5.0L30) およびSystemWalker/CentricMGR 5.2( 以降 5.2) 以降の環境で運用する場合では 発行方法が異なる部分があります 発行方法を以下に示します 1. 証明書タイプを追加します Systemwalker PkiMGRのCA 管理機能のWeb 画面で 証明書タイプを追加します エクステンションが入った証明書は使用できません したがって エクステンションを含まないタイプを作成します a) Systemwalker PkiMGRの [ 証明書タイプ管理 ] メニューから Systemwalker Centric Manager 用の証明書タイプ名を指定します SW のように任意の値を指定することができます b) 認証局鍵識別子 (Authority Key Identifier) 所有者鍵識別子 (Subject Key Identifier) などのエクステンションに関するチェックボックスは すべて選択をはずします c) [ 追加 ] ボタンをクリックし 証明書タイプを追加します 93

102 付録 A S/MIME SSL を使用したデータの暗号化 2. 秘密鍵を含んだ証明書を発行します 電子メールアドレスを必ず指定します 証明書のタイプとして Systemwalker Centric Manager 用に登録した証明書タイプ名を選択して発行します 発行後 PKCS#12 形式でダウンロードします 3. CA 局証明書 証明書を取り出します Webの証明書管理画面で証明書を検索し DER 形式でダウンロードします V5.0L20 および5.1 以前から移行する場合 以下の注意が必要です - 証明書管理環境を 作成し直す必要があります - メッセージデータの送信先サーバが V5.0L20/5.1 以前で 送信元サーバが V5.0L30 および5.2 以降の場合は S/MIMEを使用したイベント監視は使用できません InfoCA を使用して発行する場合 ( 運用モデルの場合 ) 対象システム運用管理サーバ 業務サーバ クライアント 機能 必要な証明書 / 秘密鍵 ファイル 形式 S/MIME を使用したイベント監視 SSL を使用した認証 および通信データの暗号化 S/MIME を使用したイベント監視 SSL を使用した認証 および通信データの暗号化 資源配付クライアントの SSL による認証 運用管理サーバの証明書のCA 局証明書 DER 運用管理サーバの証明書 DER 運用管理サーバの証明書の秘密鍵 - 業務サーバの証明書 DER 業務サーバの証明書のCA 局証明書 ( ) DER 業務サーバの証明書のCA 局証明書 DER 業務サーバの証明書 DER 業務サーバの証明書の秘密鍵 - 運用管理サーバの証明書 DER 運用管理サーバの証明書のCA 局証明書 DER ( ) 業務サーバの証明書のCA 局証明書 DER : 業務サーバと運用管理サーバの証明書の CA 局証明書が異なる場合に必要 以下にInfoCA V1.0L10を使用する場合とInfoCA V1.1を使用する場合の証明書発行方法を示します InfoCA V1.0L10を使用する場合秘密鍵 証明書を作成し DOS 形式でフロッピーディスクに退避します 証明書はDER 形式で発行します Systemwalker Centric Managerで使用する証明書には 必ず電子メールアドレスを入れてください 94

103 A.1 S/MIME SSL を使用するための設定 InfoCA V1.1を使用する場合 V5.0L 以前では X.509バージョン3 形式の証明書をサポートしていません このため V5.0L30 および5.2 以降の環境で運用する場合と 旧版が混在する環境で運用する場合では 発行方法が異なる部分があります 発行方法を以下に示します InfoCAの詳細は InfoCA 説明書 を参照してください V5.0L30 および5.2 以前と混在する環境で使用する場合は 以下の作業を行います 1. InfoCAのCA 管理機能のWeb 画面で 証明書タイプを追加します 証明書拡張情報が入った証明書は使用できません したがって 拡張情報を含まないタイプを作成します a) InfoCAの [ 証明書タイプ管理 ] メニューから Systemwalker Centric Manager 用の証明書タイプ名を指定します SW のように任意の値を指定することができます b) CA 鍵識別子 (Authority Key Identifier ) 所有者鍵識別子 (Subject Key Identifier) などの証明書拡張情報に関するチェックボックスは すべて選択をはずします 詳細は InfoCA 説明書 を参照してください c) [ 追加 ] ボタンをクリックし 証明書タイプを追加します 2. 証明書を発行します 電子メールアドレスを必ず指定します V5.0L30 および5.2 以前と混在する環境で使用する場合は 証明書のタイプとしてSystemwalker Centric Manager 用に登録した証明書タイプ名を選択して発行します 3. 証明書を取り出します Web 画面から証明書をダウンロードする場合は DER 形式を選択してください 4. 秘密鍵を取り出します 秘密鍵はInfoCAサーバ上にあります 証明書発行時に秘密鍵ファイルとして指定したファイルを取り出してください V5.0L20 および5.1 以前から移行する場合 以下の注意が必要です - 証明書管理環境を 作成し直す必要があります - メッセージデータの送信先サーバが V5.0L20/5.1 以前で 送信元サーバが V5.0L30 および5.2 以降の場合は S/MIMEを使用したイベント監視は使用できません 95

104 付録 A S/MIME SSL を使用したデータの暗号化 A.1.2 証明書管理環境定義ファイル (mpcrtmgr.def) の編集 証明書管理環境作成時に使用する情報を ファイルに記述します 本作業は 証明書を用いて通信を行うサーバで行ってください 証明書管理環境定義ファイルのインストール先を以下に示します 本ファイルにより Systemwalker 証明書管理環境の作成情報を設定 およびカスタマイズできます 詳細は Systemwalker Centric Manager リファレンスマニュアル を参照してください [UNIX 版の場合 ] /opt/fjsvfwcrt/etc/mpcrtmgr.def [Windows NT Windows 2000 Windows Server 2003の場合 ] Systemwalke \mpwalker\mpcrtmgr\etc\mpcrtmgr.def [Windows 9X 系の場合 ] Systemwalkerインストールディレクトリ \mpcrtmgr\etc\mpcrtmgr.def Systemwalker PkiMGR で発行した場合の設定例 以下の機能を利用する場合の定義ファイルの設定例を以下に説明します S/MIMEを使用したイベント監視 SSLを使用した認証 および通信データの暗号化を利用する場合 運用管理サーバ CA 局証明書 (DER 形式 ) 電子メールアドレス :ca@xxx.xxx.xxx ファイル名 :ca.der 自システム ( 運用管理サーバ ) の証明書 および秘密鍵 (PKCS12 形式 ) 電子メールアドレス :unyou@xxx.xxx.xxx ファイル名 :unyou.pfx 相手システム ( 業務サーバ ) の証明書 (DER 形式 ) 電子メールアドレス :gyoumu1@xxx.xxx.xxx ファイル名 :gyoumu1.der 電子メールアドレス :gyoumu2@xxx.xxx.xxx ファイル名 :gyoumu2.der 96

105 A.1 S/MIME SSL を使用するための設定 [mpcrtmgr.defファイルの設定例] [ENV] OWN-CERTTYPE=1 自システムの秘密鍵と証明書がPKCS#12 形式であるという指定 [OWN-CERTFILE FILENAME=unyou.pfx PKCS#12 形式の秘密鍵と証明書のファイルを指定 FILETYPE=1 相手システムの秘密鍵と証明書のタイプ (PKCS#12 形式は1) を指定 [CA-CERTFILE-0001] FILENAME=ca.der DER 形式の証明書ファイルを指定 [CERTFILE-0001] FILENAME=gyoumu1.der DER 形式の証明書ファイルを指定 [CERTFILE-0002] FILENAME=gyoumu2.der DER 形式の証明書ファイルを指定 業務サーバ CA 局証明書 (DER 形式 ) 電子メールアドレス :ca@xxx.xxx.xxx ファイル名 :ca.der 自システム ( 業務サーバ ) の証明書 および秘密鍵 (PKR#12 形式 ) 電子メールアドレス :gyoumu1@xxx.xxx.xxx ファイル名 :gyoumu1.pfx 相手システム ( 運用管理サーバ ) の証明書 電子メールアドレス :unyou@xxx.xxx.xxx ファイル名 :unyou.der [mpcrtmgr.defファイルの設定例] [ENV] OWN-CERTTYPE=1 自システムの秘密鍵と証明書がPKCS#12 形式であるという指定 [OWN-CERTFILE] FILENAME=gyoumu.pfx PKCS#12 形式の秘密鍵と証明書のファイルを指定 NICKNAME=gyoumu@xxx.xxx.xxx FILETYPE=1 自システムの秘密鍵と証明書のタイプ (PKCS#12 形式は1) を指定 [CA-CERTFILE-0001] FILENAME=ca.der DER 形式の証明書ファイルを指定 NICKNAME=ca@xxx.xxx.xxx [CERTFILE-0001] FILENAME=unyou.der DER 形式の相手システムの証明書ファイルを指定 NICKNAME=gyoumu1@xxx.xxx.xxx 97

106 付録 A S/MIME SSL を使用したデータの暗号化 資源配付クライアントの SSL による認証を利用する場合 クライアント業務サーバのCA 局証明書 (DER 形式 ) 電子メールアドレス :ca@xxx.xxx.xxx ファイル :ca.der [mpcrtmgr.defファイルの設定例] [ENV] BACKUP=1 自システムの証明書は使用しない場合に指定 [CA-CERTFILE-0001] FILENAME=ca.der DER 形式の業務サーバの証明書のCA 局証明書ファイルを指定 NICKNAME=ca@xxx.xxx.xxx InfoCA で発行した場合の設定例 以下の機能を利用する場合の定義ファイルの設定例を以下に説明します S/MIMEを使用したイベント監視 SSLを使用した認証 および通信データの暗号化を利用する場合 運用管理サーバ CA 局証明書 (DER 形式 ) 電子メールアドレス :ca@xxx.xxx.xxx ファイル名 :ca.der 自システム ( 運用管理サーバ ) の証明書 (DER 形式 ) 電子メールアドレス :unyou@xxx.xxx.xxx ファイル名 :unyou.der 相手システム ( 業務サーバ ) 証明書 (DER 形式 ) 電子メールアドレス :gyoumu1@xxx.xxx.xxx ファイル名 :gyoumu1.der 電子メールアドレス :gyoumu2@xxx.xxx.xxx ファイル名 :gyoumu2.der 自システム ( 運用管理サーバ ) の証明書の秘密鍵 ファイル名 :unyou.key 98

107 A.1 S/MIME SSL を使用するための設定 [mpcrtmgr.defファイルの設定例] [OWN-CERTFILE] FILENAME=unyou.der 自システムのDER 形式の証明書ファイルを指定 [CA-CERTFILE-0001] FILENAME=ca.der DER 形式のCA 局証明書ファイルを指定 [CERTFILE-0001] FILENAME=gyoumu1.der 相手システムのDER 形式の証明書ファイルを指定 [CERTFILE-0002] FILENAME=gyoumu2.der 相手システムのDER 形式の証明書ファイルを指定 [PRIVATE-KEY] FILENAME=unyou.key 自システムの証明書の秘密鍵ファイルを指定 業務サーバ CA 局証明書 (DER 形式 ) 電子メールアドレス : ca@xxx.xxx.xxx ファイル名 : ca.der 自システム ( 業務サーバ ) の証明書 (DER 形式 ) 電子メールアドレス : gyoumu1@xxx.xxx.xxx ファイル名 : gyoumu1.der 相手システム ( 運用管理サーバ ) 証明書 (DER 形式 ) 電子メールアドレス : unyou@xxx.xxx.xxx ファイル名 : unyou.der 自システム ( 業務サーバ ) の証明書の秘密鍵 ファイル名 : gyoumu1.key [mpcrtmgr.defファイルの設定例] [OWN-CERTFILE] FILENAME=gyoumu1.der 自システムのDER 形式の証明書ファイルを指定 NICKNAME=gyoumu1@xxx.xxx.xxx [CA-CERTFILE-0001] FILENAME=ca.der DER 形式のCA 局証明書ファイルを指定 NICKNAME=ca@xxx.xxx.xxx [CERTFILE-0001] FILENAME=unyou.der 相手システムのDER 形式の証明書ファイルを指定 NICKNAME=unyou@xxx.xxx.xxx [PRIVATE-KEY] FILENAME=gyoumu1.key 自システムの証明書の秘密鍵ファイルを指定 99

108 付録 A S/MIME SSL を使用したデータの暗号化 資源配付クライアントの SSL による認証を利用する場合 クライアント業務サーバのCA 局証明書 (DER 形式 ) 電子メールアドレス : ca@xxx.xxx.xxx ファイル名 : ca.der [mpcrtmgr.defファイルの設定例] [ENV] BACKUP=1 自システムの証明書は使用しない場合に指定 [CA-CERTFILE-0001] FILENAME=ca.der DER 形式の業務サーバの証明書のCA 局証明書ファイルを指定 NICKNAME=ca@xxx.xxx.xxx HTTPS サーバの稼働監視を行う場合の設定例 以下の機能を利用する場合の定義ファイルの設定例を以下に説明します S/MIMEを使用したイベント監視 SSLを使用した資源配付を行わない場合 運用管理サーバ 部門管理サーバ または業務サーバ証明書 秘密鍵は必要ありません [mpcrtmgr.defファイルの設定例] [ENV] BACKUP=1 証明書管理環境作成時に使用するパスワード Systemwalker 証明書管理環境の作成時に 管理環境を保護するために以下の パスワードを使用します mpcrtmgr.defファイルでは これらのパスワードを変更できます パスワード 環境作成後の変更 備考 スロットパスワード 秘密鍵を格納するためのものです 詳細については InfoCA 説明書 を参照してください トークンパスワード - (User-PIN) トークン情報操作用パスワード (SO-PIN) - 100

109 A.1 S/MIME SSL を使用するための設定 証明書管理環境が使用するディレクトリの作成先 Systemwalker 証明書管理環境の作成時に 以下のディレクトリを作成します mpcrtmgr.defファイルで ディレクトリの作成先を変更できます 証明書運用管理ディレクトリ 有効証明書ディレクトリ CRLディレクトリ スロットディレクトリ A.1.3 証明書管理環境の作成 証明書を用いて通信を行うサーバ (mpcrtmgr.defファイルを編集したサーバ ) で 以下の手順を実施し 証明書管理環境を作成します 管理者権限で実施してください 1. 以下のコマンドを実行します [UNIX 版の場合 ] /opt/fjsvfwcrt/bin/mpcrtsetenv [-s [ 秘密鍵のパスワード ]] [-f 証明書管理環境定義ファイル名 ] [Windows NT Windows 2000 Windows Server 2003の場合 ] Systemwalke \mpwalker\bin\mpcrtsetenv [-s [ 秘密鍵のパスワード ]] [-f 証明書管理環境定義ファイル名 ] [Windows 9X 系の場合 ] Systemwalkerインストールディレクトリ \bin\mpcrtsetenv [-s [ 秘密鍵のパスワード ]] [-f 証明書管理環境定義ファイル名 ] -s :[ 秘密鍵のパスワード ] 秘密鍵のパスワードを指定します -sが指定された場合は パスワードを問い合わせます 自分の証明書ファイルとして 秘密鍵を含んだPKCS#12 形式のファイルを指定した場合 およびmpcrtmgr.defファイルで [PRIVATE-KEY] セクションを記述した場合は 省略できません -f : 証明書管理環境定義ファイル名証明書管理環境定義ファイル名を指定します 省略した場合 カレントディレクトリにあるmpcrtmgr.defファイルを使用します 2. Systemwalker Centric Managerを再起動します Systemwalker Centric Managerを再起動します a) 以下のコマンドを実行し 停止します [Windows 版の場合 ] pcentricmgr [UNIX 版の場合 ] /opt/systemwalker/bin/pcentricmgr 101

110 付録 A S/MIME SSL を使用したデータの暗号化 b) 以下のコマンドを実行し 起動します [Windows 版の場合 ] scentricmgr [UNIX 版の場合 ] /opt/systemwalker/bin/scentricmgr A.2 S/MIME を使用してイベント監視を行う S/MIMEを使用して監視を行う場合の設定について説明します 本作業は 証明書を用いて通信を行うサーバで行ってください A.2.1 S/MIME を有効 / 無効にする Systemwalker Centric ManagerでS/MIMEを使用する場合 証明書管理環境を作成したあとに S/MIMEを有効にする必要があります 管理者権限で 以下のコマンドを実行します コマンドの詳細は Systemwalker Centric Manager リファレンスマニュアル を参照してください [UNIX 版の場合 ] /opt/fjsvfwcrt/bin/mpsetsmime -s on off [Windows NT Windows 2000 Windows Server 2003の場合 ] Systemwalkerインストールディレクトリ \mpwalker\bin\mpsetsmime -s on off [Windows 9X 系の場合 ] Systemwalkerインストールディレクトリ \bin\mpsetsmime -s on off -s : on: S/MIMEを使用する場合に指定します off: S/MIMEを使用しない場合に指定します A.2.2 S/MIME を使用したイベント監視 を使用してほかのシステムにイベント情報を送受信する場合 S/MIME を使用してメッセージデータを暗号化することができます S/MIMEを使用する場合に送信側システム 受信側システムで必要な設定を以下に示します [ 送信側システム ] CA 局証明書 証明書 秘密鍵 Systemwalker PkiMGR またはInfoCAで発行し 送信側システム 受信側システムそれぞれの端末に設定します 受信側システムの証明書の設定受信側システムの証明書を使用してメールデータを暗号化しているために必要です 102

111 A.2 S/MIME を使用してイベント監視を行う [ 受信側システム ] CA 局証明書 証明書 秘密鍵 Systemwalker PkiMGR またはInfoCAで発行し 送信側システム 受信側システムそれぞれの端末に設定します 送信側システムの証明書の設定送信側システムの秘密鍵で署名したメールデータが改ざんされていないことを検証するため 必要です ただし 必須ではありません S/MIMEを使用するシステムでは メールを送受信する両方のサーバに 送信側と受信側の証明書の設定をすることを推奨します S/MIME を使用したイベント監視の概要図を以下に示します a. 送信側システムでは 受信側システムに送信する情報を作成し をS/MINEで暗号化して送信します b. 受信側システムでは 送信側システムから送られた暗号化メールを POP3サーバから受信し復号します 受信側システムで S/MIMEを有効にした場合は S/MIMEを使用した暗号化メールだけ受信し S/MIMEを使用したメールは 受信後すぐに削除されます また 復号に失敗したメールも 証明書が登録されていない または証明書が違うなどの理由により 受信後すぐに削除されます 103