AWS上のDeep Security Managerで使用するデータベースの準備

Deep Security AMI from AWS Marketplaceのみに該当します。

AWSにDeep Securityを導入するときは、AWS Quick Start Deep Security on AWSを使用して自動で導入することをお勧めします。この方法を使用する場合は、クイックスタートでデータベース設定が処理されるため、ここで説明されているデータベースの準備手順は無視できます。クイックスタートの詳細については、Deep Security AMI from AWS Marketplaceの使用開始を参照してください。

クイックスタートを使用しない場合は、Deep Security Managerをインストールする前に、データベースをインストールし、Deep Securityのデータベースインスタンスを作成して、Deep Securityのユーザアカウントを作成する必要があります。独自のデータベースをインストールすることも、Amazon RDSマネジメントコンソールを使用してデータベースインスタンス (Microsoft SQL RDSまたはOracle RDS) を作成することもできます。手順については、Amazon RDSのドキュメントを参照してください。ただし、Deep Securityとの統合に関して、次の点に注意してください。

  1. ハードウェアに関する推奨事項を確認します。
  2. データベースの種類を選択します。サポートされるデータベースのリストについては、システム要件を参照してください。
  3. 選択したデータベースに応じ、Microsoft SQL ServerまたはOracle Databaseを参照してデータベースごとの注意点をご確認ください。
  4. 高可用性については、Deep Securityデータベースは、データベーススキーマを変更していなければ、データベースのフェイルオーバ保護に対応しています。たとえば、一部のデータベース複製テクノロジでは、複製時にデータベーステーブルに列が追加され、重大なエラーとなる可能性があります。そのため、データベース複製ではなくデータベースミラーを使用することを推奨します。
  5. データベースの時刻は、Deep Security Managerのコンピュータの時刻と同期する必要があります。データベースとManagerが同じタイムゾーンを使用し、時刻を同じタイムソースに同期していることを確認します。

    初期設定では、AWS Marketplace AMIは協定世界時 (UTC) を使用します。データベースにもUTCを使用することをお勧めします。この設定を変更する場合は、Managerとデータベースの設定が一致していることを確認してください。

  6. Deep Security Managerのコンピュータからデータベースのコンピュータへの通信を許可します。ポート番号、URL、およびIPアドレスを参照してください。
  7. Deep Security Managerのインストール時にデータベース接続の詳細を指定するように求められます。データベースのホスト名を [ホスト名] に入力し、Deep Security用に作成済みのデータベースを [データベース名] に入力してください。

    インストールではSQL認証とWindows認証の両方がサポートされます。Windows認証を使用する場合、[詳細] オプションは、AWS Marketplace版のDeep Security Managerでは使用できません。

  8. データベースメンテナンスDeep Securityの運用の重要な部分です。

ハードウェアに関する推奨事項

AWS RDSインスタンス (Microsoft SQL RDSまたはOracle RDS) を使用することをお勧めしますが、スタンドアロンデータベースサーバを使用することもできます。

スタンドアロンデータベースサーバを使用する場合は、次の推奨事項を考慮してください。

  • アップデートや推奨設定の検索など、Deep Security Managerの処理の多くは、多くのCPUリソースとメモリリソースを必要とします。大規模な環境の場合、トレンドマイクロでは、各Managerノードに4コアおよび十分なメモリを持たせることを推奨します。
  • データベースは、最適なDeep Security Managerノードの仕様と同等か、それ以上のハードウェアにインストールしてください。十分なパフォーマンスのためには、データベースに8～16GBのメモリと、ローカルまたはネットワーク接続されたストレージへの高速アクセスが必要です。可能であれば、最適なデータベースサーバの設定と実施されるメンテナンス計画について、データベース管理者に確認してください。

Microsoft SQL Server

Oracle Database

  • 「Oracle Listener」サービスを開始し、TCP接続が許可されていることを確認します。
  • Deep Security Managerで使用するデータベースアカウントには、CONNECTおよびRESOURCEのロールを割り当て、UNLIMITED TABLESPACE、CREATE SEQUENCE、CREATE TABLE、およびCREATE TRIGGERのシステム権限を付与する必要があります。
  • マルチテナントを使用する場合、Deep Security Managerで使用するデータベースアカウントには、CREATE USER、DROP USER、ALTER USER、GRANT ANY PRIVILEGE、およびGRANT ANY ROLEのシステム権限を付与する必要があります。
  • データベースユーザ名に特殊文字は使用しないでください。Oracleでは、引用符で囲めばデータベースユーザオブジェクトの設定時に特殊文字を使用できますが、Deep Securityでは、データベースユーザ名での特殊文字の使用はサポートされていません。

Oracle RAC (Real Application Clusters) のサポート

Deep Securityでは次の構成がサポートされます。

  • SUSE Linux Enterprise Server 11 SP3とOracle RAC 12c Release 1 (v12.1.0.2.0)
  • Red Hat Linux Enterprise Server 6.6とOracle RAC 12c Release 1 (v12.1.0.2.0)

初期設定のLinux Server Deep SecurityポリシーはOracle RAC環境に対応していますが、ファイアウォールの設定だけは例外です。ファイアウォール自体を無効にするか、Oracle RACでのファイアウォール設定の手順に従ってファイアウォールの設定をカスタマイズしてください。

 

Deep Security Managerのインストール時に使用する接続設定

Deep Security Managerのインストール時にデータベース接続の詳細を指定するように求められます。データベースのホスト名を [ホスト名] に入力し、Deep Security用に事前に作成したデータベースを [データベース名] に入力してください。

データベースメンテナンス

Deep Security環境の状態を正常に維持するには、データベースメンテナンスが不可欠です。

インデックスのメンテナンス

Deep Security Managerのパフォーマンスを向上させるには、Deep Securityデータベースでインデックスのメンテナンスを定期的に実行して、過度のフラグメント化を防止することをお勧めします。組織のベストプラクティスに従ってデータベースのインデックスを再作成するか、データベースベンダが提供する以下のドキュメントを参照してください。

データベースのインデックス再作成に役立つスクリプトは、オープンソースのWebサイトでも提供されています。

バックアップ

Deep Securityデータベースで障害が発生した場合に備えて、バックアップ戦略を立てておくことが重要です。データベースのバックアップ方法については、データベースベンダーのドキュメントを参照してください。データベースのバックアップと復元データベースの復元方法については、必要に応じて参照してください。