<book_title> を検索 ...

NetBackup IT Analytics ヘルプ

Last Published: 2024-09-18

Product(s): NetBackup IT Analytics (11.3)

分割アーキテクチャの Linux における NetBackup IT Analytics を使用した Oracle での TLS の構成

分割アーキテクチャでは、データベースと NetBackup IT Analytics ポータルは異なるシステム上にあります。

手順 1: サーバー側で Oracle ウォレットを構成します。

Oracle ユーザーとしてログインします。
```
su -aptare
```
サーバーウォレットを格納するディレクトリ server_wallet をサーバーシステムに作成します。
```
mkdir /opt/aptare/oracle/network/server_wallet
```

自動ログインが有効な Oracle サーバー用の空のウォレットを作成します。

orapki wallet create -wallet "/opt/aptare/oracle/network/server_wallet" -pwd <password> -auto_login

ウォレットに自己署名証明書を追加します。この段階で、秘密鍵と公開鍵の新しいペアが作成されます。

orapki wallet add -wallet "/opt/aptare/oracle/network/server_wallet" -pwd <password> -dn "CN=<server_machine_name>" -keysize 2048 -self_signed -validity <# of days>

ウォレットの内容を確認します。自己署名証明書が信頼できる証明書であるかどうかを確認します。
```
orapki wallet display -wallet "/opt/aptare/oracle/network/client_wallet" -pwd <password>
```

後でクライアントウォレットにロードできるように、証明書をエクスポートします。

orapki wallet export -wallet "/opt/aptare/oracle/network/server_wallet" -pwd <password> -dn "CN=<server_machine_name>" -cert <SERVER_WALLET>\<server-certificate-name>.crt

証明書が上記のディレクトリにエクスポートされているかどうかを確認します。

手順 2: クライアントアプリケーション用の Oracle ウォレットを構成します。

Oracle ユーザーとしてログインします。
```
su - aptare
```
クライアントウォレットを格納するディレクトリ client_wallet をクライアントシステムに作成します。
```
mkdir /opt/aptare/oracle/network/client_wallet
```
Oracle クライアント用のウォレットを作成します。自動ログインが有効な空のウォレットを作成します。
```
orapki wallet create -wallet "/opt/aptare/oracle/network/client_wallet" -pwd <password> -auto_login
```

ウォレットに自己署名証明書を追加します。この段階で、秘密鍵と公開鍵の新しいペアが作成されます。

orapki wallet add -wallet "/opt/aptare/oracle/network/client_wallet" -pwd <password> -dn "CN=<client_machine_name>" -keysize 2048 -self_signed -validity <# of Days>

ウォレットの内容を確認します。自己署名証明書がユーザー証明書で、かつ信頼できる証明書であるかどうかを確認します。
```
orapki wallet display -wallet "/opt/aptare/oracle/network/client_wallet" -pwd <password>
```

後でサーバーウォレットにロードできるように、証明書をエクスポートします。

orapki wallet export -wallet "/opt/aptare/oracle/network/client_wallet" -pwd <password> -dn "CN=<client_machine_name>" -cert <CLIENT_WALLET>\<client-certificate-name>.crt

証明書が上記のディレクトリにエクスポートされているかどうかを確認します。
Oracle サービスのユーザーがウォレットファイル cwallet.sso にアクセスできることを確認します。

手順 3: クライアントとサーバー間の交換証明書プロセスを実施します。

各データベースクライアントシステムで、次の手順を繰り返します。
- サーバーシステムの <server-certificate-name>.crt をクライアントシステムの /opt/aptare/oracle/network/client_wallet フォルダにコピーします。
- クライアントシステムの <client-certificate-name>.crt をサーバーシステムの /opt/aptare/oracle/network/server_wallet フォルダにコピーします。
- 証明書ファイルをコピーした後、所有者をクライアントシステムでの Oracle サービスユーザーに変更します。
  クライアントシステムで、次の手順を実行します。
```
chown aptare:aptare <server-certificate-name>.crt
```
  サーバーシステムで、次の手順を実行します。
```
chown aptare:aptare <client-certificate-name>.crt
```

サーバー証明書をクライアントウォレットにロードします。

orapki wallet add -wallet "/opt/aptare/oracle/network/client_wallet" -pwd <password> -trusted_cert -cert /opt/aptare/oracle/network/client_wallet/<server-certificate-name>.crt

クライアントウォレットの内容を確認します。サーバー証明書が信頼できる証明書のリストに含まれていることに注意してください。
```
orapki wallet display -wallet "/opt/aptare/oracle/network/client_wallet" -pwd <password>
```

クライアント証明書をサーバーウォレットにロードします。

orapki wallet add -wallet "/opt/aptare/oracle/network/server_wallet" -pwd <password> -trusted_cert -cert /opt/aptare/oracle/network/server_wallet/<client-certificate-name>.crt

サーバーウォレットの内容を確認します。クライアント証明書が信頼できる証明書のリストに含まれていることに注意してください。
```
orapki wallet display -wallet "/opt/aptare/oracle/network/server_wallet" -pwd <password>
```

手順 4: TCPS 接続 (サーバーと Oracle システム間) をリッスンするように Oracle データベースを構成します。次の手順では、host は Oracle サーバー IP アドレス、/opt/aptare/oracle/network/server_wallet はサーバーウォレットの場所です。

Oracle リスナーを停止します。
```
lsnrctl stop
```

listener.ora (/opt/aptare/oracle/network/admin/listener.ora) を修正します。

LISTENER = 
		(DESCRIPTION_LIST = 
     (DESCRIPTION = 
      (ADDRESS = (PROTOCOL = IPC)(KEY = EXTPROC)) 
      (ADDRESS = (PROTOCOL = TCPS)(HOST = xx.xx.xx.xx)(PORT = 2484))
     )
  )

ファイルの最後に次の行を追加します。

SSL_CLIENT_AUTHENTICATION = FALSE 
SECURE_PROTOCOL_LISTENER=(IPC) 
WALLET_LOCATION = 
    (SOURCE = 
      (METHOD = FILE) 
      (METHOD_DATA = 
         (DIRECTORY = /opt/aptare/oracle/network/server_wallet) 
      ) 
    ) 
/opt/aptare/oracle/network/server_wallet

sqlnet.ora ファイル (/opt/aptare/oracle/network/admin/sqlnet.ora) を修正します。

SSL_CLIENT_AUTHENTICATION = FALSE 
  WALLET_LOCATION = 
    (SOURCE = 
       (METHOD = FILE) 
       (METHOD_DATA = 
          (DIRECTORY = /opt/aptare/oracle/network/server_wallet) 
       ) 
    )

SSL_CIPHER_SUITES = (SSL_RSA_WITH_AES_256_CBC_SHA, SSL_RSA_WITH_3DES_EDE_CBC_SHA) SQLNET.WALLET_OVERRIDE = TRUE

tnsnames.ora ファイル (/opt/aptare/oracle/network/admin/tnsnames.ora) を修正します。

SCDB =       
     (DESCRIPTION = 
        (ADDRESS= 
            (PROTOCOL=TCPS) 
            (HOST=xx.xx.xx.xx) 
            (PORT=2484) 
        ) 
        (CONNECT_DATA=(SERVICE_NAME=scdb)(SID=SCDB)) 
    )

Oracle サービスを起動します。
```
lsnrctl start
```
リスナーの状態を確認します。
```
lsnrctl status
```

手順 5: クライアントシステムの TCPS 接続をリッスンするように Oracle データベースを構成します。次の手順を使用して、データベースサーバー上の listener.ora ファイルと sqlnet.ora ファイルを構成します。次の手順では、host は Oracle サーバー IP アドレス、/opt/aptare/oracle/network/server_wallet はサーバーウォレットの場所です。

listener.ora (/opt/aptare/oracle/network/admin/listener.ora) を修正して、次の内容を追加します。

LISTENER = 
   (DESCRIPTION_LIST = 
      (DESCRIPTION = 
         (ADDRESS = (PROTOCOL = IPC)(KEY = EXTPROC)) 
         (ADDRESS = (PROTOCOL = TCPS)(HOST = xx.xx.xx.xx)(PORT = 2484)) 
      ) 
   )

ファイルの最後に次の行を追加します。

 SSL_CLIENT_AUTHENTICATION = FALSE 
    SECURE_PROTOCOL_LISTENER=(IPC) 
    WALLET_LOCATION = 
     (SOURCE = 
       (METHOD = FILE) 
       (METHOD_DATA = 
         (DIRECTORY = /opt/aptare/oracle/network/client_wallet) 
     ) 
  )   
/opt/aptare/oracle/network/client_wallet

sqlnet.ora ファイル (/opt/aptare/oracle/network/admin/sqlnet.ora) を修正します。

SSL_CLIENT_AUTHENTICATION = FALSE 
    WALLET_LOCATION = 
       (SOURCE = 
         (METHOD = FILE) 
         (METHOD_DATA = 
           (DIRECTORY = /opt/aptare/oracle/network/client_wallet) 
         ) 
       )

SSL_CIPHER_SUITES = (SSL_RSA_WITH_AES_256_CBC_SHA, SSL_RSA_WITH_3DES_EDE_CBC_SHA) SQLNET.WALLET_OVERRIDE = TRUE

tnsnames.ora (/opt/aptare/oracle/network/admin/tnsnames.ora) を修正します。

SCDB = 
   (DESCRIPTION = 
       (ADDRESS= 
           (PROTOCOL=TCPS) 
           (HOST=xx.xx.xx.xx) 
           (PORT=2484) 
       ) 
       (CONNECT_DATA=(SERVICE_NAME=scdb)(SID=SCDB)) 
    )

sqlplus を使用して Oracle 接続をテストします。
```
sqlplus username/password@dbService
```

手順 6: ポータルとアップグレーダの Java キーストアに Oracle サーバーウォレット証明書をロードします。

ルートユーザーとしてログインします。

ポータル Java にサーバー証明書を追加します。

cd /usr/java/bin 
keytool -import -trustcacerts -alias ora_server_cert -file /opt/aptare/oracle/network/client_wallet/server-cert-db.crt -keystore /usr/java/lib/security/cacerts 
password: changeit

アップグレーダ Java にサーバー証明書を追加します。

cd /opt/aptare/upgrade/jre/bin 
keytool -import -trustcacerts -alias ora_server_cert -file /opt/aptare/oracle/network/client_wallet/server-cert-db.crt -keystore /opt/aptare/upgrade/jre/lib/security/cacerts 
password: changeit

手順 7: ポータルとレシーバのプロパティファイルの接続 URL を変更します。

ポータルサービスとエージェントサービスを停止します。
```
/opt/aptare/bin/tomcat-portal stop
/opt/aptare/bin/tomcat-agent stop
```

/opt/aptare/portalconf/portal.properties でデータベース URL を変更します。

db.url=jdbc:oracle:thin:@(DESCRIPTION=(ADDRESS=(PROTOCOL=TCPS)
(HOST=xx.xx.xx.xx)(PORT=2484))(CONNECT_DATA=(SERVICE_NAME=SCDB)))

/opt/aptare/datarcvrconf/datrarcvrproperties.xml でデータベース URL を変更します。

jdbc:oracle:thin:@(DESCRIPTION=(ADDRESS=(PROTOCOL=TCPS)
(HOST=xx.xx.xx.xx)(PORT=2484))(CONNECT_DATA=(SERVICE_NAME=SCDB)))

ポータルサービスとエージェントサービスを起動します。
```
/opt/aptare/bin/tomcat-portal start
/opt/aptare/bin/tomcat-agent start
```