Systemwalker Centric Manager 使用手引書 監視機能編 - UNIX共通 - - Microsoft(R) Windows(R) 2000/ Microsoft(R) Windows Server(TM) 2003 -

8.6.5 監査ログを収集・管理する

ログファイルを収集・管理する手順を説明します。

■監査ログを収集する

監査ログを収集する手順を説明します。

1. 以下のコマンドを実行し、指定したサーバ（部門管理サーバ、業務サーバ、運用管理サーバ、運用管理クライアント）に対しログの収集を行います。

   mpatmlog -H サーバ名 [部門管理サーバ/業務サーバ/運用管理クライアントから運用管理サーバへ通信が可能な運用管理サーバのIPアドレス]

   
   

   →指定したサーバに対してログを収集します。

mpatmlog（ログ収集コマンド）については、“Systemwalker Centric Manager リファレンスマニュアル”を参照してください。

部門管理サーバ/業務サーバ/運用管理クライアントから運用管理サーバへ通信が可能な運用管理サーバのIPアドレスの指定について

以下の条件の場合に指定する必要があります。

• 運用管理サーバがインストールされているシステムが複数のIPアドレスを持っており、被管理サーバ（部門管理サーバ、業務サーバ、運用管理クライアント）から運用管理サーバとの通信を行っているIPアドレスを特定したい場合

  NAT構成でログを収集する場合は、“Systemwalker Centric Manager NAT適用ガイド”を参照してください。

構成例を以下に示します。

■ログの収集結果を確認する

ログ収集の結果は、イベントログやsyslogに以下のメッセージが出力されます。

[Systemwalkerコンソール]を使用することで、ログ収集の結果を知ることができます。

状況	メッセージ
ログ収集が正常終了	(情報)mpatm0121 ログ収集は成功しました。サーバ名＝xxx。
収集対象のログがない	(情報)mpatm0124 収集対象のログがありませんでした。サーバ名＝xxx。
収集処理に一部失敗した場合	(警告)mpatm0122 ログ収集は一部成功しました。サーバ名＝xxx。
ログ収集に失敗した場合	(エラー)mpatm0123 ログ収集は失敗しました。サーバ名＝xxx。

ログ収集の正常終了も監視したい場合、Systemwalker Centric Managerのイベント監視の条件定義を使用し、監査ログ管理機能のメッセージを監視対象にしてください。

収集処理に失敗した場合、詳細情報は以下のように知ることができます。

• イベントログやsyslogへの出力

  [Systemwalkerコンソール]を使用することで、どの被管理サーバのログの収集中でエラーが発生したか確認することができます。

• 標準エラー出力としての出力

  mpatmlog（ログ収集コマンド）の実行結果は、標準出力/標準エラー出力として出力します。mpatmlog（ログ収集コマンド）を実行する際、出力ファイルをリダイレクト指定することにより、実行結果を確認することができます。

  

  UNIXシステムの場合、/etc/syslog.conf の指定(user.infoの出力抑止)によっては、「ログ収集が正常終了(mpatm0121)」が出力されない場合があります。

◆指定した形式が正しいかは、初回ログ収集の結果で確認します。

指定した形式が正しく指定できていると判断できる条件は、以下のとおりです。

• ログデータが日付ごとのファイルに、正しい日付で分割されている場合

指定した形式が正しく指定できていないと判断できる条件は、以下のとおりです。

• ログデータが複数の日数に存在するにも関わらず、収集された日付ファイルが、収集当日のログファイルのみしか存在しない場合
• ログデータが複数の日数に存在するにも関わらず、日付ごとに分割されてはいるが、ファイル名の日付とデータが一致しない場合
• ログデータが複数の日数が存在するにも関わらず、mpatm0124メッセージ（収集対象のログがありませんでした。）が出力された場合

誤って異なる日付形式を指定してログ収集を行った場合も、監査ログ管理はログファイル情報を格納します。そのため、正しい形式に修正し、再度ログ収集を行っても一度読み込んだログファイル情報が格納されているため、日付形式が誤っている時に読み込んだログデータは収集されません。その際は、形式を修正したログ識別名に対してmpatmdelap(ログ情報削除コマンド)を実施し、ログの管理情報を削除してからログ収集してください。mpatmdelap（ログ情報削除コマンド）については、“Systemwalker Centric Manager リファレンスマニュアル”を参照してください。

■定期的にログを収集する

OSのスケジュール機能、Systemwalker Operation Managerなどのジョブ管理製品を使用することにより、定期的なログの採取が可能となります。

OSのスケジュール機能についてはOSのヘルプを、またSystemwalker Operation Managerによる設定方法については、Systemwalker Operation Managerのマニュアルを参照してください。

• 実行するアカウントについて

  実行するアカウントは、Administratorsグループ(Windows)/システム管理者(スーパーユーザ)(UNIX)に属しているユーザで設定/登録してください。

• ログ収集コマンドの実行および、スケジュール機能登録時の注意事項
  • ログ収集の実施により、一時的にネットワークや特定のサーバ（運用管理サーバ）に負荷が集中するため、以下の時間帯での実施をしてください。

    業務が稼働していない時間帯(例：夜間)

  • 転送量の軽減のため、収集1回あたりのログデータ量、回線の太さを考慮しスケジュール登録をしてください。

■監査ログの一覧を参照する

収集したログファイルの管理について説明します。

ログ収集コマンドで収集したログファイルは、設定時に指定した格納ディレクトリに格納/保存します。収集したログファイルは、以下の名前で保存します。

サーバ名_ログ識別名_文字コード_YYYYMMDD.log

• サーバ名： 収集対象のサーバ名
• ログ識別名：収集するログファイルの識別子
• 文字コード：収集対象のサーバの言語情報
  • S：SJIS
  • E：EUC
  • U：UTF-8
  • C：英語(SJIS/EUC/UTF-8以外の文字コード)
• 日付：収集対象のログのうちYYYYMMDDのもの

格納したログファイルに関する注意事項

• 収集したログファイルが2GBを超えた場合は、2GBごとに分割して保存します。収集したログファイルは、以下の名前で保存します。

  サーバ名_ログ識別名_文字コード_YYYYMMDD_NN.log

  
  

  NN：通番 01〜99

• 監査ログ管理機能では、収集対象のログの文字コード変換はしていません。（※監査証跡の観点から、収集対象のログを形式を変えないで収集しています。）
• 監査ログ管理機能の対象のログファイルは、テキストログであり、被管理サーバ（部門管理サーバ、業務サーバ）と運用管理サーバの文字コードが同じ場合、テキストエディタにて参照可能です。
• テキストエディタなどで収集ログを参照する場合、「閲覧モード」で参照してください。

■監査ログをバックアップする

収集したログファイルのバックアップについて説明します。

ログファイルを収集し続けると、格納ディレクトリのディスク容量不足を招く恐れがあります。格納ディレクトリは、収集当日、前日のログのみとし、ほかのログはCD-R/DVD-R/ストレージ装置などの追記不可の媒体にバックアップし、バックアップ後のファイルは削除をする運用を推奨します。収集したログファイルのバックアップには、OSのバックアップ機能やバックアップ製品を使用してください。