システム構築ガイドライン

ここでは、運用システムの構成全般について、セキュリティの観点から考慮すべき事項を説明します。

ネットワーク構成

図2.3に、推奨されるネットワーク構成を示します。

図2.3 推奨ネットワーク構成

本システムは、イントラネットでの運用を想定した構成となっています。DMZ への設置は推奨されませんの で、運用時のセキュリティを確保するためにはイントラネット内の運用にとどめてください。

また、接続されるネットワークのセキュリティを確保するために、以下の3つのネットワークは、物理的に分 けて構築する必要があります。

• 業務に使用するネットワーク

通常運用時に、一般ユーザが業務用のアプリケーションなどを利用する場合に接続するネットワークです。

• システムの管理に使用するネットワーク

管理OSやゲストドメイン、ゲストOSの導入や保守などの管理作業を行う場合に接続するネットワークです。

• バックアップに使用するネットワーク

仮想システムでは、ネットワーク経由によるバックアップを推奨します。

ネットワーク経由でのバックアップを行うと、一般的にネットワークに負荷がかかるため、専用のネット ワークを設けることを推奨します。これをバックアップ用ネットワークといいます。

管理OS上で、これらのネットワークに対応する仮想ブリッジの設定、および各ゲストドメインの仮想ネット ワークインタフェースの設定を行ってください。なお、要求されるセキュリティレベルによっては、管理用 ネットワークとバックアップ用ネットワークを同一にする構成もできます。

SELinux

Linux向けのセキュリティ強化機能としてSELinuxがありますが、管理OS上でのSELinuxの使用は推奨され

ません。管理OS のSELinuxの機能を無効に設定してください。設定手順については、「6.4 管理OS インス トール後の確認」を参照してください。

使用ポート番号と運用時の設定

運用時に管理OSで使用されるネットワークのポート番号を、表2.2に示します。

上記のうち、SSHとNTPについてはRHELで提供されるものと同様です。ポート番号の変更などを行う場合 は、通常のLinuxの場合と同様の手順で設定を行ってください。

また、ゲストドメインが使用するVNCサーバのポート番号の設定については、「9.3.3.1 グラフィカルコンソー ル」を参照してください。

上記のネットワークポートの設定パターンについて、運用場面ごとの設定例を以下に示します。

表2.2 管理OSが使用するポート番号 使用プロセス ポート番号

（初期値）

プロトコル 備考

SSH 22 SSH 管理OSにCUIでログインするためのSSHデーモンが 使用するポート

ゲストドメイン 5900+ディスプレイ番号 VNC

ゲストドメインのインストール時および保守作業時 にグラフィカルコンソールを表示するためのVNC ポート。ローカル・ループバック・アドレス（127.0.0.1）

経由でのみ接続可能。

NTP 123 NTP 管理OSで時刻同期用にNTPサーバを立ち上げる場合 に使用するポート

表2.3 運用場面ごとの設定例

運用場面 設定対象 設定内容 作業者

ゲストドメイン作成時

SSH デーモン（sshd）起動

仮想システム管理者 ゲストドメイン管理者

“virt-install”コマンド --vncportオプションでポート番号を 指定します

virt-manager ― ^(*1)

ゲストドメイン運用中

SSH デーモン（sshd）起動 仮想システム管理者 ドメイン構成ファイル すべてのゲストドメインのグラフィ

カルコンソールを無効にします ゲストドメイン管理者

ゲストドメイン保守作業時

SSH デーモン（sshd）起動 仮想システム管理者 ドメイン構成ファイル 対象のゲストドメインのグラフィカ

ルコンソールを有効にします ゲストドメイン管理者 (*1)：5900以降のランダムなポート番号が使用されます（ゲストドメインに割り当てるポートは指定できません）。

また、管理OS上でファイアーウォールを有効にする場合は、上記の管理OSで使用されるポートへのアクセ スを許可するように、管理OS上でiptablesの設定を行ってください。

• ゲストドメイン作成時

ゲストドメインの作成時には、グラフィカルコンソール、またはシリアルコンソール上で作業を 行う必要があります。グラフィカルコンソールに関連する各設定を行ってください。

• ゲストドメイン運用中

ゲストドメインの運用中は、グラフィカルコンソールは使用しません。グラフィカルコンソール を使用する場合は、グラフィカルコンソールに関連する各設定を無効にしてください。

• ゲストドメイン保守作業時

ゲストドメインの保守作業時にゲストドメインのグラフィカルコンソール上での操作が必要に なる場合は、グラフィカルコンソールに関する各設定を有効にしてください。ドメイン構成ファ イルで設定する値は、システム設計時に決めたものを使用してください。

なお、保守作業時にグラフィカルコンソール上での操作が必要ない場合は、ゲストドメインの運 用中と同じ設定で作業を行ってください。