<book_title> を検索 ...

NetBackup IT Analytics ヘルプ

Last Published: 2024-03-18

Product(s): NetBackup IT Analytics (11.2)

Oracle 用の Kerberos ベースの認証の構成

本書では、次の点を前提としています。ユーザーは、企業の要件と構成に対応する変更を行って調整する必要があります。

Kerberos 配布センターがすでに構成されている
キー配布センター (KDC) に構成されているレルムは TESTDOMAIN.COM である
IT Analytics ポータルが配備されているシステムは Itanalyticsportal.testdomain.com である

KDC で NetBackup IT Analytics を構成する場合に必要な追加手順は次のとおりです。

KDC マシンとポータルマシンの Kerberos 構成ファイル (/etc/krb5.conf) の forwardable が false に設定されていることを確認します (デフォルトでは false に設定されています)。
```
forwardable = false
```
更新後、KDC サーバーで KDC と管理サービスを再起動します。
```
#systemctl restart krb5kdc.service 
#systemctl restart kadmin.service
```
KDC で Oracle サービスのサービスプリンシパルを作成します。ここで、scdb は Oracle での Oracle サービス名です。
```
# kadmin.local 
addprinc -randkey 
scdb/itanalyticsportal.testdomain.com@TESTDOMAIN.COM
```

Kerberos サービスプリンシパルを keytab に追加します。

# kadmin.local
ktadd -k /tmp/keytab 
scdb/itanalyticsportal.testdomain.com@TESTDOMAIN.COM

データベース上の portal ユーザーに対応するユーザープリンシパル名 (kportal など) を作成します。
```
# kadmin.local
addprinc kportal
```
データベース上の aptare_ro ユーザーに対応するユーザープリンシパル名 (kaptare_ro など) を作成します。
```
# kadmin.local
addprinc kaptare_ro
```
keytab を検証します。追加されたすべてのプリンシパルの詳細が表示されます。
```
# klist -k -t /tmp/keytab
```

NetBackup IT Analytics ポータルで、次の手順を実行します。

Kerberos クライアントパッケージをインストールします。
```
# yum install -y krb5-libs krb5-workstation
```
KDC 1 から /etc/krb5.conf をコピーし、Kerberos クライアントパッケージをインストールします。
```
# yum install -y krb5-libs krb5-workstation
```
KDC から同じパスの Oracle サーバーに /etc/krb5.conf をコピーします。
KDC から Oracle サーバー (/etc/v5srvtab など) に keytab ファイルをコピーします。
/opt/aptare/oracle/network/admin/sqlnet.ora ファイルに次のエントリを追加します。
```
SQLNET.AUTHENTICATION_SERVICES=(BEQ,KERBEROS5) 
SQLNET.AUTHENTICATION_KERBEROS5_SERVICE=scdb 
SQLNET.KERBEROS5_CONF=/etc/krb5.conf 
SQLNET.KERBEROS5_CONF_MIT=TRUE 
SQLNET.KERBEROS5_REALMS=/etc/krb5.conf 
SQLNET.KERBEROS5_KEYTAB=/etc/v5srvtab
SQLNET.FALLBACK_AUTHENTICATION=TRUE 
SQLNET.KERBEROS5_CC_NAME=/var/tmp/kcache
```
NetBackup IT Analytics ポータルサーバーと KDC の時刻とタイムゾーンの設定は同じである必要があります。時刻が一致していない場合は、sqlnet.ora の次のエントリを調整し、時刻の不一致を補正します。たとえば、20 分以内にします。デフォルト値は 300 です。
```
SQLNET.KERBEROS5_CLOCKSKEW=1200
```
ファイルとディレクトリに適切な権限を付与し、Oracle サービスが sqlnet.ora に記述されているこれらのファイルまたはディレクトリを読み取れるようにします。
```
# chown aptare:dba /etc/krb5.conf /etc/v5srvtab /var/tmp/kcache
```

データベースサーバーで、次のコマンドを実行し、Kerberos で使用される Oracle でのユーザーを作成します。ここでは、KDC に kportal および kaptare_ro ユーザープリンシパルを作成しています。

# su - aptare

sqlplus / as sysdba 
SQL>alter session set container=scdb; 
SQL> CREATE USER kportal PROFILE DEFAULT IDENTIFIED EXTERNALLY AS 'kportal@TESTDOMAIN.COM' DEFAULT TABLESPACE APTARE_TBS_DATA_1M TEMPORARY TABLESPACE APTARE_TEMP_TBS;

SQL> CREATE USER kaptare_ro PROFILE DEFAULT IDENTIFIED EXTERNALLY AS 'kaptare_ro@TESTDOMAIN.COM' DEFAULT TABLESPACE APTARE_TBS_DATA_1M TEMPORARY TABLESPACE APTARE_TEMP_TBS;

/opt/aptare/oracle/dbs/initscdb.ora ファイル (サービスの初期化ファイル) に、次のエントリを追加します。
```
OS_AUTHENT_PREFIX=""
```
Oracle サービスを再起動します。
```
/opt/aptare/bin/oracle restart
```
データベースサーバーで、次のコマンドを実行し、Oracle サービスユーザーとしての kportal ユーザーログインの初期 TGT を検証およびフェッチします。
```
# su - aptare
# oklist -k -t /etc/v5srvtab
# okinit -k -t /etc/v5srvtab kportal
```
Oracle DB に接続して検証します。
```
# sqlplus /@scdb
```

portal および aptar_ro に対応する Kerberos ユーザーのトリガを作成し、セッションを変更して現在のスキーマを PORTAL に設定します。

# okinit -k -t /etc/v5srvtab kportal; 
login to db 
# sqlplus /@scdb 
create below trigger 
CREATE OR REPLACE TRIGGER set_portal_schema 

after logon on kportal.schema 
begin 
execute immediate 'alter session set current_schema=PORTAL'; 

end; 

/ 

#okinit -k -t /etc/v5srvtab kaptare_ro; 

login to db 
sqlplus /@scdb 

create trigger 
CREATE OR REPLACE TRIGGER set_ro_schema 

after logon on kaptare_ro.schema 

begin 

execute immediate 'alter session set current_schema=APTARE_RO'; 

end; 

/

データベースサーバーで、次のコマンドを実行し、portal スキーマの RTD パッケージを実行する権限を kaptare_ro に付与します。
```
su - aptare 
sqlplus "/ as sysdba" 

SQL> alter session set container=scdb; 
SQL> GRANT EXECUTE ON portal.rtd TO kaptare_ro; 
SQL> exit;
```

2 つの別個のキャッシュファイルを作成します。1 つは portal ユーザー用、もう 1 つは aptare_ro ユーザー用です。

#su - aptare

#kinit -k -t /etc/v5srvtab kportal@TESTDOMAIN.COM -c /tmp/portal_kcache; 
#kinit -k -t /etc/v5srvtab kaptare_ro@TESTDOMAIN.COM -c /tmp/ro_kcache;

root and tomcat user must have read privileges to the cache files. 
#chmod 440 /tmp/portal_kcache; 
#chmod 440 /tmp/ro_kcache;

ポータルサーバーで、ポータル構成ファイルを Kerberos 用の更新構成で更新します。

これらのプロパティは、 /opt/aptare/portalconf/portal.properties で定義または更新する必要があります。

db.url=jdbc:oracle:thin:@(DESCRIPTION=(ADDRESS=(PROTOCOL=tcp)
(HOST=localhost)(PORT=1521))(CONNECT_DATA=(SERVICE_NAME=scdb))) (This is db url in which host and service name is db host name and oracle service name respectively)
db.user=kportal@TESTDOMAIN.COM (It will be a combination of the portal user principal name and domain realm name)
db.ro_user=kaptare_ro@TESTDOMAIN.COM (It will be a combination of the ro user principal name and domain realm name)
db.auth.scheme=kerberos (this property must be defined to enable kerberos authentication)
db.kerberos.keytab.path=/etc/v5srvtab (this is keytab file path location)
db.driver=oracle.jdbc.OracleDriver (We are using this driver for kerberos auth.)
db.kerberos.portal_kcache.path=/tmp/portal_kcache (It will be portal user cache file)
db.kerberos.ro_kcache.path=/tmp/ro_kcache (It will be ro user cache file)
db.connection.max=25
db.connection.min=25
db.connection.expiration=5

ポータルサーバーで、データレシーバ構成ファイルを /opt/aptare/datarcvrconf/datrarcvrproperties.xml の Kerberos 用の更新構成で更新します。

<dataSource> 
<Driver>oracle.jdbc.driver.OracleDriver</Driver> 
<URL>jdbc:oracle:thin:@(DESCRIPTION=(ADDRESS=(PROTOCOL=tcp)(HOST=localhost)
(PORT=1521))(CONNECT_DATA=(SERVICE_NAME=scdb)))</URL> 
<UserId>kportal@TESTDOMAIN.COM</UserId> 
<Password>Z0Q5W+lQD2jreQaLBoYsviYO21WGOq5iTEo0Ad2uUj/
e0GtqPkOtXFblKxCseKXO4VhpIQwwfrSfe59nGy156DV8lYoa7HWmL0hF+
kAZXOoXfIN5YRAGfqDbCwrKQdtPY7pQhuTkZMPLl0d9Kzy6sLGMb/
33L4hKuEl0ZZN2FG5US26JZ/uSOBF7T69ppqxGqXMleZ19QBcvUElLwJTn
52SurL+K3RjCY7Xi0VJb4wLkax07xCkpSK9dJ6NMFJS3ybWP4jNs3rC3roud
Zak8wGqLNhAacyXgW4pMpgigVjGwNr0N8rJIgcGmXgAxSNs0qmQItu
XPIyqGf+nWWEfScQ==</Password> 
<oracle_service_name>scdb</oracle_service_name>

<ro_user>kaptare_ro@TESTDOMAIN.COM</ro_user> 
<ro_password>U9a7a+af94q0CUaIfzaVmYl1P1DhdQW96CQiYWgxUGSV5sf
VVsxoWF5RiyV85MD8V0Ogy7UJo1sFmAL36KjDy8LA61pKeO4X39hRK/g8vvl/
xNnG5bBYIF04/1LwD2FTz0lJERWopKVZ6pd6TkT0mGeKrnu2oYi97GtlW4J73t
PGTFRhHyVw7yZKMmaxbs/FBwrz5aIfje3rT0w85m7Obtrjf2nJ2HjsaHnm
Toh0Ua96xlshjrE75UbaLMu0QEcF3PYF3qufYVIegn4VGSHcpsU/AFzurKpr0
JTsU/6VqvdE4veBLv4FH5D05bRetaOA0SGKCazWA50xiirwocvgyw==</ro_password>

<MaxConnections>125</MaxConnections> 
<MinConnections>5</MinConnections> 
<ConnExpirationTime>5</ConnExpirationTime> 
<authScheme>kerberos</authScheme> 
<portalKcacheFile>/tmp/portal_kcache</portalKcacheFile> 
<roKcacheFile>/tmp/ro_kcache</roKcacheFile> 
<kKeyTabFile>/etc/v5srvtab</kKeyTabFile> 
</dataSource>