アクセスを保護する

セキュリティーは、ビジネスに不可欠なアプリケーションをクラウド環境で実行する場合に最も重要になる懸念事項の 1 つです。 IBM® Virtual Servers への接続を保護するために、SSH 公開鍵をアカウントにリージョン別にアップロードできます。 仮想サーバーへのアクセスを可能にするために、それらの公開鍵を仮想サーバーにデプロイします。

先に進む前に、SSH 公開鍵を作成して、後で仮想サーバー・インスタンスを作成するときに、選択したリージョンにアップロードできるようにしてください。 こちらで説明している手順に従ってください。

セキュリティー・グループを使用して、IP 範囲、プロトコル、およびポートの送受信を制限できます。 セキュリティー・グループはこのガイダンスの対象範囲ではなく、また、サンプルの VPC にデプロイされるデフォルトのセキュリティー・グループで十分です。 ただし、SAP Software Provisioning Manager や SAP NetWeaver ベースのアプリケーションで使用されているポートなどのポートを、アクセス制限の例外として追加する必要がある可能性があります。

IBM Cloud VPC およびサブネットを作成する

IBM Cloud® のコンピュート・リソースは、VPC の内部のグローバル・リージョンに保持されます。 以下の手順を使用して、VPC とサブネットを作成します。

1. 固有の認証情報を使用して IBM Cloud コンソールにログインします。
2. メニュー・アイコン > VPC インフラストラクチャー > ネットワーク > VPC をクリックし、新しい仮想プライベート・クラウド > Gen 2 の VPC の作成をクリックします。

1. **「名前」**に、VPC の固有の名前 (sap-test-inst など) を入力します。

2. **「リソース・グループ」**は、デフォルトのままにします。 アクセス制御および請求処理のために、リソース・グループを使用してアカウントのリソースを編成できます。 詳しくは、『リソースをリソース・グループに編成するためのベスト・プラクティス』を参照してください。 この例では、デフォルト値を使用できます。

3. オプション : タグ。 タグを入力すると、リソースの編成と検索に役立ちます。 後でさらにタグを追加できます。 詳しくは、『タグの処理』を参照してください。

4. **「デフォルト・セキュリティー・グループ」**の各設定 (この VPC 内の仮想サーバー・インスタンスへのインバウンドの SSH および ping トラフィックを許可) はそのままにします。

5. オプション : クラシック・アクセス。 VPC をクラシック・インフラストラクチャー・リソースにアクセスできるようにするかどうかを選択します。 詳しくは、クラシック・インフラストラクチャーへのアクセスのセットアップを参照してください。

   VPC のクラシック・アクセスの有効化は、VPC の作成時にしか設定できません。 また、クラシック・アクセス VPC は常にアカウントに 1 つしか作成できません。

6. オプション: デフォルトのアドレス接頭部。 デフォルトのサブネット・アドレス接頭部を VPC の各ゾーンに割り当てない場合は、このオプションを無効にしてください。 VPC を作成した後で、VPC の詳細ページに移動して独自のサブネット・アドレス接頭部を設定できます。　 このオプションを無効にすると、**「VPC 用の新規サブネット」**セクションは非表示になるので、VPC の作成後に手動で定義する必要があります。 デフォルト値のままにします。

   後でサブネットと独自のサブネット・アドレス接頭部を作成する場合は、VPC ネットワーキングの重要な情報を詳しく理解してください。 詳しくは、VPC でのネットワークについておよびVPC のアドレス指定計画の設計を参照してください。

仮想サーバー・インスタンスを作成する

以下の手順を使用して、仮想サーバー・インスタンスを作成します。

1. 「仮想サーバー・インスタンス」>**「新規インスタンス」**をクリックします。

2. **「名前」**に、仮想サーバーの固有の名前 (sap-app-vsi など) を入力します。 入力した名前がホスト名になります。

   SAP ホスト名は、最大 13 文字の英数字で構成する必要があります。 詳細は SAP 注611361を参照のこと。

3. 仮想サーバー・インスタンスへの接続に使用する仮想プライベート・クラウド (sap-test-instなど) を選択します。

4. **「リソース・グループ」**は、デフォルトのままにします。

5. オプション : タグ。 タグを入力すると、リソースの編成と検索に役立ちます。 後でさらにタグを追加できます。 詳しくは、『タグの処理』を参照してください。

6. サブネットを作成したロケーションが既に選択されています。 場所は、リージョンとゾーンで構成されます。

7. OS イメージとして、「カタログ・イメージ」>**ibm-redhat-7-6-amd64-sap-applications-1**を選択します。

For every SUSE Linux® Enterprise and Red Hat® Enterprise Linux® version there are two different Catalog Images available each: one for SAP HANA and one for SAP NetWeaver (Applications). In these images, the specific repositories are enabled, so you can install the OS packages that are required to install SAP HANA or SAP NetWeaver.
{: note}

1. 「すべてのプロファイル」>「平衡型」 をクリックし、bx2-32x128 を選択します。 SAP 認定プロファイルについて詳しくは、SAP NetWeaver の Intel Virtual Server 認定プロファイルを参照してください。

ブロック・ストレージ・ボリュームの接続

オペレーティング・システムの所要量以上にファイル・システム・スペースを用意するには、ブロック・ストレージ・ボリュームを仮想サーバー・インスタンスに接続する必要があります。 このストレージ・ボリュームは、インストールするアプリケーションで使用します。 この例では、そのアプリケーションとは、SAP NetWeaver スタックに必要なリレーショナル・データベース管理システム (RDBMS) です。

1. **「新規ボリューム」**をクリックします。
2. *「名前」*に sap-app-vol1 と入力します。
3. *「プロファイル」*には「カスタム」を選択します。
4. *「サイズ」*に 500 と入力します。
5. *「IOPS」*に 10000 と入力します。 **「スループット」*はデフォルトで「156.25 MiBps」*に設定されます。
6. **「暗号化」と「自動削除」**はデフォルトのままにします。

1. **「アタッチ」**をクリックします。
2. **「ネットワーク・インターフェース」**はデフォルトのままにします。
3. 「仮想サーバー・インスタンスの作成 (Create virtual server instance)」 をクリックします。 Virtual Servers for VPC がプロビジョンされ、SSH でログオンできる状態になったら、SAP NetWeaver アプリケーションのインストールを開始できます。

ワークロードのために仮想サーバー・インスタンスを準備する

IBM® Virtual Servers には、VPC への IPsec 接続を使用してアクセスします。 仮想サーバー・インスタンスへの IPsec ベースのアクセスを構成する方法については、このガイダンスの対象範囲外です。 簡単にするため、およびデプロイ済みインスタンスに素早くアクセスするために、浮動 IP を仮想サーバー・インスタンスに割り当てることができます。 この IP は、定義されたセキュリティー・グループに従ってポートとプロトコルを転送するゲートウェイに割り当てられます。

IP を割り当てることで、仮想サーバー・インスタンスに直接 ssh コマンドを実行できます。この例では、以下のようなコマンドになります。

ssh -i ~/.ssh/sap-ssh-key root@158.176.180.39

仮想サーバー・インスタンスのオペレーティング・システムを最新レベルに更新するには、yum update を実行し、仮想サーバー・インスタンスを再始動します。

SAP NetWeaver の Software Provisioning Manager (SWPM) は、サーバー・インスタンスの外部 IP に解決されないホスト名に製品をインストールすることを許可しません。 この制限のため、仮想サーバー・インスタンスのデフォルトの設定を調整する必要があります。 /etc/hosts を編集して、ホスト名を IPv4 と IPv6 のローカル・ホスト・アドレスに解決する行をコメント化します。 代わりに、ホスト名が仮想サーバーの外部 IP アドレスに解決されるようにする必要があります (例を参照)。 この例では、ホスト名は10.242.128.8に解決されます。これは図 6 に示されているプライベート IPです。 この例では、サンプルのデフォルト・ドメインを追加します。 具体的な環境に合わせて、この例を調整します。

これらの行は、/etc/hosts ファイルの例です。 ホスト名でローカル・ホストを参照している箇所が、IPv4 と IPv6 の両方でコメント化されている (または削除されている) ことを確認してください。

  # The following lines are desirable for IPv4 capable hosts

  #127.0.0.1 sap-app-vsi sap-app-vsi
  127.0.0.1 localhost.localdomain localhost
  127.0.0.1 localhost4.localdomain4 localhost4

  # The following lines are desirable for IPv6 capable hosts

  #::1 sap-app-vsi sap-app-vsi
  ::1 localhost.localdomain localhost
  ::1 localhost6.localdomain6 localhost6
  10.242.128.8 sap-app-vsi.saptest.com sap-app-vsi

次の再始動時に IBM Cloud の cloudinit プロセスが /etc/hosts の内容を前の値に戻さないように、/etc/cloud/cloud.cfg の構成を変更します。 manage_etc_host を True から False に変更します。

最後に、接続したストレージ・ボリューム上にファイル・システムを作成してストレージを調整する必要があります。 /sbin/fdisk -l を入力して各サイズを確認することで、新たに接続したボリュームを見分けることができます。 確実に見分けるには、「VPC 用の仮想サーバー・インスタンス」ページで**「デバイス」**をクリックして、デバイス ID を確認してください。

1. 「概要」ページで、**「デバイス」**の最初の 20 桁を確認し、/dev/disk/by-id で同じ ID を見つけます。 この例のデバイスは 07a7-184b... です。

   [root@sap-app-vsi ~]# ls -als /dev/disk/by-id/ | grep 07a7-184b4a2f-d768-4
   0 lrwxrwxrwx 1 root root   11 May   3 08:30 virtio-07a7-184b4a2f-d786-4 -> ../../vdb
   

この例で、ID は virtio-07a7-184b4a2f-d786-4 であり、/dev/vdb にリンクされています。

1. このパスにファイル・システムを作成します。

   [root@sap-app-vsi ~]# mkfs.xfs /dev/vdb
   

2. 関連付けられた UUID を /dev/disk/by-uuid で確認します。

   [root@sap-app-vsi ~]# ls -als /dev/disk/by-uuid/ | grep vdb
   0 lrwxrwxrwx 1 root root  11 May 10 08:31 1350230e-8058-4fe5-bbc0-cc27253ff778 -> ../../vdb
   

3. この例では、その UUID を /etc/fstab に追加します。

   UUID=1350230e-8058-4fe5-bbc0-cc27253ff778 /db2 xfs defaults 0 0
   

4. インストールの大部分に使用するファイル・システムを作成します。この例では、IBM Db2 を使用するので以下のようにします。

   [root@sap-app-vsi ~]# mkdir /db2
   [root@sap-app-vsi ~]# mount /db2
   

5. SWPM 用のスワップ・スペースを追加します。 ここでは最小のスワップ・スペースをシステムに追加しています。

   [root@sap-app-vsi ~]# dd if=/dev/zero of=/swapfile bs=1M count=8192
   8192+0 records in
   8192+0 records out
   8589934592 bytes (8.6 GB) copied, 24.701 s, 348 MB/s
   
   [root@sap-app-vsi ~]# chmod 0600 /swapfile
   [root@sap-app-vsi ~]# mkswap /swapfile
   Setting up swapspace version 1, size = 8388604 KiB
   no label, UUID=e7a63777-521a-44a7-abcc-0d17e1876a78
   

6. 次の行を /etc/fstab に追加します。

   /swapfile    none    swap    sw      0 0
   

7. スワップ・スペースをアクティブ化します。

   [root@sap-app-vsi ~]# swapon -a
   

これで、選択した SAP 製品をインストールする準備が整いました。 仮想サーバーのサンプルが 1 つで十分であれば、次のステップは、 SAP ソフトウェアとアプリケーションをダウンロードしてインストールすることです。

3 層セットアップで仮想サーバー・インスタンスを 2 台インストールする

これは、前より複雑なシナリオです。2 台の仮想サーバーをインストールします。 一方のサーバーは SAP NetWeaver アプリケーション・サーバー (sap-app-vsi) で、もう一方のサーバーは SAP NetWeaver 用のデータベース・サーバーです。 この例に従って同じレイアウトの仮想サーバーを 2 台作成したとすると、図 8 と 9 のような仮想サーバーの概要が表示されます。

両方の仮想サーバーには、1 つの追加接続ボリュームと 1 つの浮動 IP があります。 小さいボリュームは、アプリケーション・サーバーであるsap-app-vsiに接続されます。sap-app2-vsiには、RDBMS および SAP Central Services (ASCS) インスタンスをホストするためのわずかに大きいボリュームがあります。 sap-app2-vsi には SAP NetWeaver スタックをホストするための 2 つ目のボリュームが必要です。 「VPC 用のブロック・ストレージ・ボリューム」ページでボリュームをもう 1 つ作成し、sap-app2-vol2 という名前を付けます。 詳細画面を選択して、sap-app2-vol2 を仮想サーバーに接続します。

ネットワークを準備する

SAP の推奨に従ってネットワーク・トラフィックを分離するために、2 つ目のサブネットをデプロイします。 一方のネットワークはクライアントのアクセスに使用し、もう一方は SAP ABAP スタックと RDBMS の間の通信に使用します。

図 11 を参考にして sap-test-net2 という名前の新規サブネットを作成してください。

メニュー・アイコン > VPC インフラストラクチャー > ネットワーク > サブネットをクリックし、新規サブネットをクリックします。

新規サブネットが作成されると、「VPC 用のサブネット」ページに表示されます。

この新しいネットワークに 2 台の仮想サーバーを接続する必要があります。 仮想サーバーの概要に戻り、**「新規インターフェース (New interface)」**をクリックします。

ターゲットのセットアップに応じて、/etc/hosts ファイルを保守します。 次の例は sap-app2-vsi の場合です。

  # The following lines are desirable for IPv4 capable hosts

  #127.0.0.1 sap-app2-vsi sap-app2-vsi
  127.0.0.1 localhost.localdomain localhost
  127.0.0.1 localhost4.localdomain4 localhost4

  # The following lines are desirable for IPv6 capable hosts

  #::1 sap-app2-vsi sap-app2-vsi
  ::1 localhost.localdomain localhost
  ::1 localhost6.localdomain6 localhost6
  10.243.128.9 sap-app2-vsi.saptest.com sap-app2-vsi
  10.243.129.6 sap-app2-vsi-priv.saptest.com sap-app2-vsi-priv
  10.243.128.7 sap-app-vsi.saptest.com sap-app-vsi
  10.243.129.4 sap-app-vsi-priv.saptest.com sap-app-vsi-priv

ストレージを準備する

データベース仮想サーバーの 2 つのボリュームに、データベースと SAP インストールのためのファイル・システムをプロビジョンする必要があります。 さらに、/sapmnt は、アプリケーション・サーバーの仮想サーバーにネットワーク・ファイル・システム (NFS) でエクスポートする必要があります。

アプリケーション・サーバーの仮想サーバーには、20 GB のボリュームが 1 つだけ接続されています。 リソース ID を確認しなくても、ボリュームを識別できます。

Disk /dev/vdd: 21.5 GB, 21474836480 bytes, 41943040 sectors
Units = sectors of 1 * 512 = 512 bytes
Sector size (logical/physical): 512 bytes / 512 bytes
I/O size (minimum/optimal): 512 bytes / 512 bytes

このボリュームにファイル・システムを作成し、そのファイル・システムの /dev/disk/by-uuid パスを調べてからマウントします。

ls -als /dev/disk/by-uuid/ | grep vdd
0 lrwxrwxrwx 1 root root 9 May 13 03:23 cf5d6692-4176-47c4-b799-039c11103fd4 -> ../../vdd

最終的な /etc/fstab エントリーは、次の例のようになります。

UUID=cf5d6692-4176-47c4-b799-039c11103fd4 /usr/sap xfs defaults 0 0

マウント・ポイントを作成してからマウントする必要があります。

[root@sap-app-vsi ~]# mkdir /usr/sap
[root@sap-app-vsi ~]# mount -a

データベース仮想サーバーには、3 つのファイル・システムを作成する必要があります。 1 つは RDBMS のインストール用、残りの 2 つは /usr/sap および /sapmnt 用です。 接続されたボリュームはどちらも同じように作成され、/dev/vdb および /dev/vde と表示されます。 この例では、最初のファイル・システムを 2 つのパーティションに分割します。

[root@sap-app2-vsi ~]# /sbin/fdisk /dev/vdb
Welcome to fdisk (util-linux 2.23.2).
Changes will remain in memory only, until you decide to write them.
Be careful before using the write command.
Device does not contain a recognized partition table
Building a new DOS disklabel with disk identifier 0x8f5f8b5e.
Command (m for help): n
Partition type:
p primary (0 primary, 0 extended, 4 free)
e extended
Select (default p): p
Partition number (1-4, default 1): 1
First sector (2048-419430399, default 2048):
Using default value 2048
Last sector, +sectors or +size{K,M,G} (2048-419430399, default 419430399): +100G
Partition 1 of type Linux and of size 100 GiB is set
Command (m for help): n
Partition type:
p primary (1 primary, 0 extended, 3 free)
e extended
Select (default p): p
Partition number (2-4, default 2):
First sector (209717248-419430399, default 209717248):
Using default value 209717248
Last sector, +sectors or +size{K,M,G} (209717248-419430399, default 419430399):
Using default value 419430399
Partition 2 of type Linux and of size 100 GiB is set
Command (m for help): w
The partition table has been altered!
Calling ioctl() to re-read partition table.
Syncing disks.

3 つのファイル・システムを作成します (この例では、出力を示していません)。

[root@sap-app2-vsi ~]# mkfs.xfs /dev/vdb1
[root@sap-app2-vsi ~]# mkfs.xfs /dev/vdb2
[root@sap-app2-vsi ~]# mkfs.xfs /dev/vde
[root@sap-app2-vsi ~]# mkdir /usr/sap /sapmnt /db2

同じく、前述のように /dev/disk/by-uuid パスを調べ、/etc/fstab のエントリーを保守する必要があります。 最後の手順として、NFS をセットアップして SAP をインストールします。

1. 両方の仮想サーバーに NFS ユーティリティーをインストールします。

   [root@sap-app-vsi ~]# yum install nfs-utils
   

   [root@sap-app2-vsi ~]# yum install nfs-utils
   

2. データベース仮想サーバーで NFS サーバーを開始します。

   [root@sap-app2-vsi ~]# systemctl enable nfs-server
   [root@sap-app2-vsi ~]# systemctl start nfs-server
   

3. NFS を使用し、データベース・サーバーの /etc/exports に必要なエントリーを追加して、データベース・サーバーの /sapmnt および /usr/sap/trans をアプリケーション・サーバーにエクスポートします。

   /sapmnt/C10 10.243.129.0/24(rw,no_root_squash,sync,no_subtree_check)
   /usr/sap/trans 10.17.139.0/24(rw,no_root_squash,sync,no_subtree_check)
   

   上記の例のサブネットは、実際の IP 範囲およびサブネット・マスクに合わせる必要があります。 値C10を、ご利用の SAP システムの SAP システム ID に置き換えます。C10はサンプル値です。 このディレクトリーを作成してから、エクスポートする必要があります。

4. コマンド行から以下のコマンドを実行します。

   [root@sap-app2-vsi ~]# mkdir /sapmnt/C10
   [root@sap-app2-vsi ~]# mkdir -p /usr/sap/trans
   [root@sap-app2-vsi ~]# exportfs -a
   

5. 以下のエントリーを /etc/fstab に追加して、NFS 共有をアプリケーション・サーバーにマウントし、次のコマンドを使用して、コマンド・ラインからアプリケーション・サーバーをマウントします。

   [root@sap-app-vsi ~]# vi /etc/fstab
   ...
   sap-app2-vsi-priv:/sapmnt/C10 /sapmnt/C10 nfs defaults 0 0
   sap-app2-vsi-priv:/usr/sap/trans /usr/sap/trans nfs defaults 0 0
   

6. ターゲット・ディレクトリーを作成してマウントします。

   [root@sap-app-vsi ~]# mkdir /sapmnt/C10
   [root@sap-app-vsi ~]# mkdir /usr/sap/trans
   [root@sap-app-vsi ~]# mount /sapmnt/C10
   [root@sap-app-vsi ~]# mount /usr/sap/trans
   

これで、分散 SAP インストール環境のコンポーネントをホストするためのサーバーの準備は完了です。 その他のインストールの準備について詳しくは、SAP ソフトウェアとアプリケーションをダウンロードしてインストールするを参照してください。

SAP ランドスケープのインストール

SAP の Software Provisioning Manager (SWPM) を準備する

ネットワークの帯域幅や待ち時間によっては、SAP の SWPM の GUI は、仮想ネットワーク・コンピューティング (VNC) のセッションでリモートから実行する必要があります。 別の方法としては、GUI をローカルで実行し、ターゲット・マシンの SWPM にその GUI を接続します。 最初の方法では、仮想サーバーで X11 を実行し、VNC サーバーとブラウザーをインストールする必要があります。 ここでは、ブラウザーをデスクトップでローカルに実行し、仮想サーバーの SWPM に接続することにします。 SWPM に接続するには、SWPM が listen しているポートを確認します。 SWPM の起動中にアクセス URL がリストされるときにポートが表示されます。 そのポート (通常は 4237) を VPC のセキュリティー・グループで開く必要があります。 該当する送信元 IP 範囲 (または 0.0.0.0/0) とポート番号の 新規インバウンド・ルールを追加する必要があります。 もう 1 つ、さらに安全性が高い方法として、ssh を使用してポートをトンネリングする方法があります。

[root@sap-app-vsi ~]# ssh -L 4237:localhost:4237 <your virtual server IP>

-L オプションはローカル・トンネルを表し、ブラウザーをリモート IP ではなくこのローカル・ホストのポートに接続します。 SAP アプリケーションに必要なポート (例: ポート 3200 から 3299。SAP NetWeaver インスタンス番号によって異なる) をセキュリティー・グループに忘れずに追加してください。 ポートの詳細については、 SAP ポートを参照してください。