NetBackup IT Analytics システム管理者ガイド

Oracle の修正

1. KDC から Oracle サーバーの /etc/krb5.conf パスに /etc/krb5.conf をコピーします。
2. KDC から Oracle に /etc/v5srvtab として keytab ファイルをコピーします。

   メモ:

   エクスポートした keytab ファイルは、Oracle サーバーにコピーした後は KDC から削除できます。

   メモ:

   詳しくは、「KDC での keytab ファイルへのサービスプリンシパルとユーザープリンシパルのエクスポートを参照してください。」を参照してください。

3. ファイルとディレクトリに適切な権限を付与し、Oracle サービスが sqlnet.ora に記述されているこれらのファイルまたはディレクトリを読み取れるようにします。

   # chown <oracle user>:<oracle group> /etc/krb5.conf /etc/v5srvtab 
   # chmod 444 /etc/krb5.conf /etc/v5srvtab
   

   例: # chown aptare:dba /etc/krb5.conf /etc/v5srvtab

4. /opt/aptare/oracle/network/admin/sqlnet.ora ファイルに次のエントリを追加します。

   • SQLNET.AUTHENTICATION_SERVICES=(BEQ,KERBEROS5)

   • SQLNET.AUTHENTICATION_KERBEROS5_SERVICE=scdb

   • SQLNET.KERBEROS5_CONF=/etc/krb5.conf

   • SQLNET.KERBEROS5_CONF_MIT=TRUE

   • SQLNET.KERBEROS5_REALMS=/etc/krb5.conf

   • SQLNET.KERBEROS5_KEYTAB=/etc/v5srvtab

   • SQLNET.FALLBACK_AUTHENTICATION=TRUE

   • SQLNET.KERBEROS5_CC_NAME=/tmp/kcache

   • SQLNET.KERBEROS5_CLOCKSKEW=300

   メモ:

   Oracle サーバーと KDC の時刻とタイムゾーンの設定は同じである必要があります。わずかでも時刻が一致していない場合は、sqlnet.ora に次のエントリを追加し、時刻の不一致を補正します。次は、20 分ずれていた場合の例です。デフォルト値は 300 です。SQLNET.KERBEROS5_CLOCKSKEW=1200。Veritas では、両方のサーバーの時刻がタイムサーバーの時刻に同期するように構成することをお勧めします。

5. Oracle に Kerberos で使用するユーザーを作成します。ここでは、KDC に k1portal ユーザープリンシパルを作成しています。

   # su - aptare (login as Oracle service user)
   # sqlplus / as sysdba 
   SQL> alter session set container=scdb; 
   CREATE USER <kerberos user name> PROFILE DEFAULT IDENTIFIED EXTERNALLY AS 
   '<Kerberos user name>@<domain realm name>' DEFAULT TABLESPACE 
   APTARE_TBS_DATA_1M TEMPORARY TABLESPACE APTARE_TEMP_TBS;
   

   例:

   SQL> CREATE USER k1portal PROFILE DEFAULT IDENTIFIED EXTERNALLY AS 
   'k1portal@EXAMPLE.COM' DEFAULT TABLESPACE 
   APTARE_TBS_DATA_1M TEMPORARY TABLESPACE APTARE_TEMP_TBS; 
   SQL> EXIT;

6. パラメータ OS_AUTHENT_PREFIX="" がデータベースのパラメータファイル (「pfile」または「spfile」) に追加されていることを確認します。

   追加されていない場合は、パラメータファイルにパラメータを追加する必要があります。

   例: /opt/aptare/oracle/dbs/initscdb.ora ファイル (サービスの初期化ファイル) に、次のエントリを追加します。OS_AUTHENT_PREFIX=""

7. /opt/aptare/oracle/dbs/initscdb.ora ファイル (サービスの初期化ファイル) に、次のエントリを追加します。

   OS_AUTHENT_PREFIX=""

8. Oracle サービスを再起動します。

9. メモ:

   事前にスタッシュされた Kerberos チケットを使用する場合、この手順は省略可能です。

   次のコマンドを実行して、Oracle サービスユーザーとしてログインし、k1portal ユーザーの初期 TGT を検証およびフェッチします。

   # su - aptare (login as Oracle service user) 
   # oklist -k -t /etc/v5srvtab 
   # okinit -k -t /etc/v5srvtab k1portal

10. 次のコマンドを使用して Oracle DB に接続します。

    # sqlplus /@scdb

11. ポータルに対応する Kerberos ユーザーのトリガを作成し、セッションを変更して現在のスキーマを PORTAL に設定します。

    # su - aptare ( login as Oracle service user) 
    # okinit -k -t /etc/v5srvtab k1portal;

    上記コマンドは、事前にスタッシュされた Kerberos チケットの場合は省略可能です。

    # sqlplus /@scdb
    SQL> show user; # This must return k1portal
    SQL> CREATE OR REPLACE TRIGGER set_portal_schema 
    after logon on k1portal.schema begin execute immediate 
    'alter session set current_schema=PORTAL'; 
    end; 
    /

12. RO ユーザーが PORTAL ユーザーを介して接続することを許可します。

    sqlplus / as sysdba 
    SQL> alter session set container = scdb; 
    SQL> alter user aptare_ro grant connect through k1portal; 
    SQL> GRANT CREATE SESSION to aptare_ro; 
    Verify with RO user login 
    SQL> sqlplus [aptare_ro]/@scdb;
    SQL> show user; 
    This must return aptare_ro
    SQL> exit;