Automatische Installation, Einspielen von Patches und Datenbank-Cloning

Transkript

1 Automatische Installation, Einspielen von Patches und Datenbank-Cloning IT-SYMPOSIUM

2 Jutta Adam-Fuss Server Technology Competence Center ORACLE Deutschland GmbH Agenda Deployment Management Architektur Bestandsübersicht Analyse der Umgebung Datenbank-Cloning Patch Management Sicherheitsüberwachung 2

3 Deployment Management Oracle Inventory Software Configurations Hardware Configurations Discover Enterprise Manager Analyze View/Search Compare/Diff Change Tracking Reference Configurations Install/Clone Configure Provision LiveLink Oracle.com Product Updates Patch Patches Secure Product Configuration Grid Control - Architektur HTTP/S HTML Konsole HTTP/S Überall nutzbar NET Mobiles Device HTTP/S Firewall Portale HTTP/S Open Repository 3

4 Analyse - Bestandsübersicht Welche Instanzen benötigen einen bestimmten Patch? Ist mein Betriebssystem auf dem richtigen Patch-Level Komplettes Bestandsverzeichnis der Oracle Software Versionen Patch Level Konfigurationsdetails aller Oracle Produkte Betriebssystem Software und Hardware Details Automatisches Sammeln der Host Konfiguration Management Agent sammelt Daten Hardware Betriebssystem (Eigenschaften, Packages, Patches) Oracle Software (Installierte Produkte, Komponenten, Patch Sets, Interim Patches) Oracle Universal Installer (OUI) Inventory Vom Betriebssystem registrierte Software 24 Stunden Intervall 4

5 Automatisches Sammeln der Host Konfiguration Metriken, die gesammelt werden, sind definiert in AGENT_HOME/sysman/admin/default_collection/host.xml Ermitteln der Betriebssystem Konfiguration native calls Systemspezifische Dateien Package Management Tools (rpm/linux, pkginfo/solaris, swlist/hpux, etc.) Ermitteln der Oracle Software Oracle Universal Installer (OUI) APIs Oracle Inventory Central Inventory Enthält eine Liste aller ORACLE_HOMEs auf diesem Host Central Inventory Pointer für Standardinstallationen sind bekannt, z.b. /var/opt/oracle/orainst.loc Solaris Registry Windows Local Inventory Im inventory Unterverzeichnis in jedem ORACLE_HOME Datei comps.xml enthält Informationen aller Komponenten, Patch Sets und Interim Patches sowie von nicht-oracle Komponenten 5

6 Agent Konfiguration - Inventory Central Inventories in non-standard location Agent Konfiguration erforderlich für das Auffinden der ORACLE_HOMEs AGENT_HOME/sysman/config/OUIinventories.add inventory: /private/iseminar/test_db/testinventory.loc OH1 Inventory Catalog Central Inventory Pointer Central Inventory Pointer Central Inventory Central Inventory OH2 OH3 OH11 OH22 Analyse - Konfigurationsinformationen When things stop working, the first thing we do is try to figure out what has changed CallSO DBA Vergleiche verschiedener Maschinen Suche nach Installationen oder Konfigurationen Veränderungen sichtbar machen 6

7 7

8 8

9 Suche nach Änderungen der Initialisierungsparameter 9

10 Vergleich von Datenbanken 10

11 Änderungen der Host Konfiguration Hardware- und Software-Konfiguration Hardware-, Netzwerk Änderungen Betriebssystem Änderungen, z.b. Kernel Parameter, Packages, etc. Oracle Software Installation, De-Installation, Patching,... Ausführbar via OUI, CLI oder Enterprise Manager Aktualisierung der Oracle Inventory durch OUI Calls Critical Patch Facility nutzt z.b. diese Informationen 11

12 Oracle Home Cloning Our administrators spend about 25% of their time on installs and cloning -Verizon Information Services DBA Reduzierung von manuellen Arbeiten im Software Life-Cycle Von Stunden zu Minuten Automatisierung der Softwareverteilung basierend auf Referenz- Systemen Intelligenter Klonmechanismus macht kontextspezifische Anpassungen DB: Home, Hostname, Listener ias: IP Addresse, Hostname, Web Listener 1 Zu klonende Software (und Instanzen) auswählen 2 Klonen auf ausgewählte Ziele 3 Inventory aktualisieren 12

13 Datenbank Cloning Komplette Datenbank klonen RMAN-basiert Clone Library Online (mit Archivelog Modus) Abarbeitung über EM Job Cloning Wizard Clone Database Services werden automatisch angelegt (Windows) Datenbank Listener Automatische Registrierung im Grid Control Via HTTP Server Oracle Apache keine Konfiguration erforderlich 13

14 Cloning - Voraussetzungen Datenbank Software Cloning Oracle oder höher Datenbank Cloning x oder höher Oracle Home darf nur Oracle Datenbank oder Oracle Client inkl. Patches enthalten (nur x) Cloner Stage Patches einspielen Cloning - Voraussetzungen Application Server 10g Software Cloning Oracle Application Server 10g (9.0.4) Cloner Stage Patches einspielen Unterstützung für J2EE WebCache (ohne Infrastruktur) White Paper: Oracle Application Server 10g Cloning

15 Automatisches Patchmanagement Slammer Virus nutzt bekannte Sicherheitslücke aus, obwohl der Patch 6 Monate vor der Attacke verfügbar war Real-Time Ermittlung neuer Patches Schnelle Verteilung von Security Patches verringert Sicherheitsrisiko Automatisches Staging und Anwendung Von Stunden zu Minuten 2 Determine Applicability 3 Apply Patch 1 Patch Published 4 Update Inventory Patching via Enterprise Manager Komponenten Management Server Verarbeitung Agent Job System Patch Engine ( opatch Utility) Zwei Arten von Patch Jobs StageDatabasePatchTargets PatchDatabaseTargets 15

16 Patching via Enterprise Manager 1. Download der Patches in Patch Cache 2. Überprüfung der Speicheranforderung auf dem Zielsystem 3. Kopieren des Patches vom Repository zum Zielsystem Unterverzeichnis im ORACLE_HOME wird erstellt: EMStagedPatches/<patch-id> 4. Unzip des Patches 5a. Ende 5.b Apply des Patches und Aktualisierung der Konfigurations Informationen im Repository 16

17 17

18 18

19 19

20 20

21 21

22 Patching Der Agent, muss das Verzeichnis für das Kommando fuser in der PATH-Variable definiert haben. Wichtig: Nach Änderung den Agent neu starten Policy Management Policy Out-of-box Policy Definitionen Definition von Regeln Erkennen von Verstößen Identifizierung von Sicherheitslücken Fehlende Patches Zugriffs Anfälligkeit Offene Ports Standardisierung und Automatisierung 22

23 Automatische Sicherheits Checks All Oracle Software 1. Security alerts 2. Critical patches Host 1. Detect open ports 2. Detect insecure services Application Server 1. HTTPD has minimal privileges 2. Use HTTP/S 3. Apache logging should be on 4. Demo applications disabled 5. Disable default banner page 6. Disable access to unused directories 7. Disable directory indexing 8. Forbid access to certain packages 9. Disable packages not used by DAD owner 10. Remove unused DAD configurations 11. Redirect _pages directory 12. Password complexity enabled 13. Use HTTP/S Database Services 1. Enable listener logging 2. Password-protect listeners 3. Disable direct listener administration 4. Disallow remote OS roles and authentication 5. Disallow use of remote password file 6. Restrict access to external procedure service Database User Privileges 1. Disable install and demo accounts 2. Disallow default user/password 3. PUBLIC has execute System privilege 4. PUBLIC has execute Object privilege 5. PUBLIC has execute UTL_FILE privilege 6. PUBLIC has execute UTL_SMTP privilege 7. PUBLIC has execute UTL_HTTP privilege 8. PUBLIC has execute UTL_TCP privilege 9. PUBLIC has execute DBMS_RANDOM 10. Password complexity 11. Restrict number of failed login attempts 12. Authentication protocol fallback 13. Connect and Resource grants Datenbank Policies 1. Insufficient Number of Control Files 11. Not Using Locally Managed Tablespaces 2. Insufficient Redo Log Size 12. SYSTEM TS Contains Non-System Data Seg 3. Insufficient Number of Redo Logs 13. Users with Permanent TS as Temporary TS 4. Use of Unlimited Autoextension 14. Insufficient Recovery Area Size 5. Use of Non-Standard Init. Parameters 15. Force Logging Disabled 6. Recovery Area Location Not Set 16. Not Using Spfile 7. Autobackup of Control File is not Enabled 17. Rollback in SYSTEM Tablespace 8. SYSTEM TS Used as User Default TS 18. Not Using Undo Space Management 9. Segment with Extent Growth Policy Violation 19. Non-uniform Default Extent Size 10.Tablespace Containing Mixed Segment Types 23

24 24

25 Grid Control vs. Database Control Grid Control Database Control Management Repository 25

26 Database Control vs. Grid Control Configuration Management Enterprise Manager 10g Grid Control Database Control System Inventory Collection and Reporting Enterprisewide Local Application Server Control Local Configuration Comparisons and History Enterprisewide History only History only Patch Wizard with Critical Patch Advisory Enterprisewide Local Local Policy Manager Enterprisewide Local Local Cloning Across hosts Within local host N/a Configuration Search Enterprisewide N/a N/a Vorteile Reduzierung von manuellen, immer wiederkehrenden, fehleranfälligen Aufgaben Automatisierungen von Verwaltungsaufgaben entlasten die Administratoren Stabilere und effizientere Systemumgebungen durch pro-aktives Management führen zu höherer Verfügbarkeit der Anwendungen Übersicht der im Unternehmen installierten Oracle Software, inkl. der Hard- und Software-Konfigurationen sowie Betriebssysteme und Patch-Level Automatische Sicherheitsüberwachung und Einhaltung von Standards durch Out-of-the-Box Policies z.b. fehlende kritische Patches, offene Ports, Standard Passworte Geringerer Aufwand für Softwarebereitstellung, Installation und Konfiguration der Oracle Software sowie Patches 26

27 Informationen Q & A Q U E S T I O N S A N S W E R S 27

28 28