NetBackup IT Analytics システム管理者ガイド

ポータルの修正

1. KDC からポータルサーバーの /etc/krb5.conf パスに /etc/krb5.conf のコピーを作成します。
2. KDC からポータルの /etc/v5srvtab に keytab ファイルをコピーします。

   メモ:

   エクスポートした keytab ファイルは、ポータルサーバーにコピーした後は KDC から削除できます。

   メモ:

   詳しくは、「KDC での keytab ファイルへのサービスプリンシパルとユーザープリンシパルのエクスポートを参照してください。」を参照してください。

3. 次のコマンドを使用して、上記のコピーした 2 つのファイルの所有者と権限を変更します。

   chown <oracle user>:<oracle group> /etc/krb5.conf /etc/v5srvtab
   # chmod 444 /etc/krb5.conf /etc/v5srvtab
   

   例: # chown aptare:dba /etc/krb5.conf /etc/v5srvtab

4. /opt/aptare/oracle/network/admin/sqlnet.ora ファイルに次のエントリを追加します

   • SQLNET.AUTHENTICATION_SERVICES=(BEQ,KERBEROS5)

   • SQLNET.AUTHENTICATION_KERBEROS5_SERVICE=scdb

   • SQLNET.KERBEROS5_CONF=/etc/krb5.conf

   • SQLNET.KERBEROS5_CONF_MIT=TRUE

   • SQLNET.KERBEROS5_REALMS=/etc/krb5.conf

   • SQLNET.KERBEROS5_KEYTAB=/etc/v5srvtab

   • SQLNET.FALLBACK_AUTHENTICATION=TRUE

   • SQLNET.KERBEROS5_CC_NAME=/tmp/kcache

   • SQLNET.KERBEROS5_CLOCKSKEW=300

5. JDBC が Oracle DB に対して複数の接続を試みた場合、Oracle アプリケーションはこれをリプレイ攻撃とみなし、エラーを出力するため、プロパティファイルの修正が必要になります。

   このエラーを避けるには、KDC とクライアントマシンにある Kerberos 構成ファイル /etc/krb5.conf の [libdefaults] セクションが forwardable = false と構成されていることを確認します。

   更新するには、次のコマンドを使用して、KDC サーバーで kdc と管理サービスを再起動します。

   systemctl restart krb5kdc.service

   systemctl restart kadmin.service

6. ポータルユーザーにキャッシュファイルを作成します。

   たとえば、 kinit -k -t <Key Tab File> <kerberos user@domain realm name> -c <cache file name> コマンドを実行して、キャッシュファイルを生成します。

   kinit -k -t <Key Tab File> <kerberos user name>@<domain realm name>
    -c <cache file name> 
   # su - aptare (login as oracle user)
   # kinit -k -t /etc/v5srvtab k1portal@EXAMPLE.COM 
   -c /tmp/portal_kcache;
   

7. Tomcat ユーザーには、キャッシュファイルに対する読み取り権限が必要です。次のコマンドを使用して、Tomcat OS ユーザーが Oracle DB への JDBC の接続を行えるようにします。

   .
   # chown <portal user>:<portal group> /tmp/portal_kcache;
   # chmod 444 /tmp/portal_kcache;
   

   例: chown aptare:aptare /tmp/portal_kcache;

8. /opt/aptare/portalconf/portal.properties で、次のプロパティを追加または更新する必要があります。

   • db.url=jdbc:oracle:thin:@(DESCRIPTION=

     (ADDRESS=(PROTOCOL=tcp)(HOST=localhost)

     (PORT=1521))(CONNECT_DATA=(SERVICE_NAME=scdb)))

     このホストとサービス名は異なる場合があります。

   • db.user=<kerberos user name>@<domain realm name>

     例: db.user=k1portal@EXAMPLE.COM Kerberos ポータルのユーザー名とドメインレルム名の組み合わせ

   • db.auth.scheme=kerberos

     このプロパティは、Kerberos 認証を有効にするために定義する必要があり、大文字と小文字は区別されません。

   • db.kerberos.keytab.path=/etc/v5srvtab

     これは keytab ファイルの絶対パスです。

   • db.driver=oracle.jdbc.OracleDriver

   • db.kerberos.portal_kcache.path=/tmp/portal_kcache

     これはポータルユーザーのキャッシュファイルの絶対パスです。

   • db.connection.max=25

   • db.connection.min=25

   • db.connection.expiration=5

9. データレシーバのプロパティファイル /opt/aptare/datarcvrconf/datrarcvrproperties.xml でも同様の変更が必要です。

   太字のプロパティを追加または更新します。

   <dataSource>
   <Driver> oracle.jdbc.driver.Oracle</Driver><URL>jdbc:oracle:thin:@(DESCRIPTION=(ADDRESS=(PROTOCOL=tcp)
   (HOST=localhost)(PORT=1521))(CONNECT_DATA=(SERVICE_NAME=scdb)))</URL><UserId><kerberos user name>@<>
   <domain realm name></UserId>
   
   For example: <UserId>k1portal@EXAMPLE.COM</UserId>
   
   <Password>Z0Q5W+lQD2jreQaLBoYsviYO21WGOq5iTEo0Ad2uUj/e0GtqPkOtXFblKxCse
   KXO4VhpIQwwfrSfe59nGy156DV8lYoa7HWmL0hF+kAZXOoXfIN5YRAGfqDbCwrKQdtPY7pQh
   uTkZMPLl0d9Kzy6sLGMb/33L4hKuEl0ZZN2FG5US26JZ/uSOBF7T69ppqxGqXMleZ19QBcv
   UElLwJTn52SurL+K3RjCY7Xi0VJb4wLkax07xCkpSK9dJ6NMFJS3ybWP4jNs3rC3roudZak8
   wGqLNhAacyXgW4pMpgigVjGwNr0N8rJIgcGmXgAxSNs0qmQItuXPIyqGf+nWWEfScQ==
   </Password>
   
   <oracle_service_name>scdb</oracle_service_name>
   
   <ro_user>aptare_ro</ro_user>
   
   <ro_password>U9a7a+af94q0CUaIfzaVmYl1P1DhdQW96CQiYWgxUGSV5sfVVsxoWF5Riy
   V85MD8V0Ogy7UJo1sFmAL36KjDy8LA61pKeO4X39hRK/g8vvl/xNnG5bBYIF04/1LwD2FTz
   0lJERWopKVZ6pd6TkT0mGeKrnu2oYi97GtlW4J73tPGTFRhHyVw7yZKMmaxbs/FBwrz5aIf
   je3rT0w85m7Obtrjf2nJ2HjsaHnmToh0Ua96xlshjrE75UbaLMu0QEcF3PYF3qufYVIegn
   4VGSHcpsU/AFzurKpr0JTsU/6VqvdE4veBLv4FH5D05bRetaOA0SGKCazWA50
   xiirwocvgyw==
   </ro_password>
   
   <MaxConnections>125</MaxConnections>
   
   <MinConnections>5</MinConnections>
   
   <ConnExpirationTime>5</ConnExpirationTime>
   <authScheme>kerberos</authScheme> <portalKcacheFile>/tmp/portal_kcache</portalKcacheFile><kKeyTabFile>/etc/v5srvtab</kKeyTabFile>
   </dataSource>