| Interstage Application Server 運用ガイド(基本編) |
|
目次
索引
|
| 付録A Interstage管理コンソールの構成 |
Interstage管理コンソール動作環境のカスタマイズについて説明します。
Interstage管理コンソール動作環境として、カスタマイズ可能な項目は以下のとおりです。
本作業は、Interstageをインストールしているサーバの管理者権限で実行する必要があります。
Interstage管理コンソールを使用するためには、Interstage管理コンソール用のポート番号が必要です。ポート番号は、以下のファイルを編集して変更します。
|
[本製品インストールフォルダ]\gui\etc\httpd.conf |
|
/etc/opt/FJSVisgui/httpd.conf |
Interstage管理コンソールの接続先ポート番号を変更する場合は、“Listen”に設定されている値を変更します。
初期設定では、“12000”が設定されています。SSL暗号化通信を選択した場合も同様に“12000”が設定されています。
|
Listen 12000 |
Interstage管理コンソールは、表示画面を自動的に最新情報に更新します。この更新間隔は、以下の手順で設定します。
以下の条件の場合、モニタ画面においてセションタイムアウトが発生しません。モニタ画面を参照する場合は、注意してください。
【条件】
【対象画面】
Interstage管理コンソールは、SSL暗号化通信を使用するかを指定できます。httpd.confファイルを編集し、SSL環境の構築をすることでSSL暗号化通信が使用できるようになります。
Interstage管理コンソールの運用においてSSL暗号化通信を使用するか否かについては、本製品インストール時に“運用形態の選択”で設定されます。
インストール後に、インストール時に選択した運用形態から変更する場合は、以下の手順で環境設定を行います。
なお、SSL暗号化通信を使用しない場合は、Interstage管理コンソールをアクセスするためのIDやパスワードなどが、ネットワーク上をそのまま流れます。そのため、SSL暗号化通信を使用するか、または通信データが傍受されないような対策を実施することを推奨します。
SSL暗号化通信のカスタマイズパターンごとの手順について以下に示します。
以下の変更を実施した場合には、Windows(R)のスタートメニューに登録されている“Interstage管理コンソール”のショートカットは使用できません。Windows(R)のスタートメニューに登録しているURLを変更してください。
例) 「SSL暗号化通信を使用する」から「SSL暗号化通信を使用しない」へ変更する場合
修正前:https://localhost:12000/IsAdmin/
修正後:http://localhost:12000/IsAdmin/
例) 「SSL暗号化通信を使用しない」から「SSL暗号化通信を使用する」へ変更する場合
修正前:http://localhost:12000/IsAdmin/
修正後:https://localhost:12000/IsAdmin/
“SSL暗号化通信を使用する”運用形態に変更する場合の手順を説明します。
|
"%CommonProgramFiles%\Fujitsu Shared\F3FSSMEE\cmcrtsslenv.exe" -ed [本製品インストールフォルダ]\gui\etc\cert |
|
"/opt/FJSVsmee/bin/cmcrtsslenv" -ed /etc/opt/FJSVisgui/cert |
|
"%CommonProgramFiles%\Fujitsu Shared\F3FSSMEE\cmdspcert.exe" -ed [本製品インストールフォルダ]\gui\etc\cert -nn SSLCERT | find "FINGERPRINT" |
|
cmdspcert -ed /etc/opt/FJSVisgui/cert -nn SSLCERT | grep FINGERPRINT |
フィンガープリントは、以下のように表示されます。
|
FINGERPRINT(MD5): 40 79 98 2F 37 12 31 7C AE E7 B4 AB 78 C8 A2 28 |
出力されたフィンガープリントは記録しておいてください。
なお、この証明書は、Interstage管理コンソールとWebブラウザ間のSSL暗号化通信において、簡単にSSL暗号化通信が利用できるようにすることを目的に、本製品が自動生成したものです。セキュリティを強化したい場合は、認証局から発行してもらった証明書を利用する運用に切り替えることができます。運用を切り替える方法については、“証明書を変更する場合”を参照してください。
編集する定義ファイルは、以下のファイルです。
|
[本製品インストールフォルダ]\gui\etc\httpd.conf |
編集する内容は、以下のとおりです。
|
# ---- Configuration for SSL --- |
編集する定義ファイルは、以下のファイルです。
|
/etc/opt/FJSVisgui/httpd.conf |
編集する内容は、以下のとおりです。
|
# ---- Configuration for SSL --- |
以下のサービスを再起動します。
|
"Interstage Operation Tool(FJapache)" |
再起動の手順は以下のとおりです。
|
1) Interstage HTTP Server（Interstage管理コンソール用）のプロセスをkillコマンドで停止する。 2) Interstage HTTP Server（Interstage管理コンソール用）を起動する。 注) PID_FILE:Interstage HTTP Serverの定義ファイル(httpd.conf)の、“PidFile”に設定されているパスを指定します。Interstage管理コンソール用のInterstage HTTP Serverの定義ファイルは、“/etc/opt/FJSVisgui/httpd.conf”です。 |
“SSL暗号化通信を使用しない”運用形態に変更する場合の手順を説明します。
[編集前]
|
# ---- Configuration for SSL --- |
[編集後](太字部分が変更箇所です。)
|
# ---- Configuration for SSL --- |
以下のサービスを再起動します。
|
"Interstage Operation Tool(FJapache)" |
再起動の手順は以下のとおりです。
|
1) Interstage HTTP Server（Interstage管理コンソール用）のプロセスをkillコマンドで停止する。 2) Interstage HTTP Server（Interstage管理コンソール用）を起動する。 注) PID_FILE:Interstage HTTP Serverの定義ファイル(httpd.conf)の、“PidFile”に設定されているパスを指定します。Interstage管理コンソール用のInterstage HTTP Serverの定義ファイルは、“/etc/opt/FJSVisgui/httpd.conf”です。 |
本製品インストール時または、cmcrtsslenvコマンドで使用する証明書は、Interstage管理コンソールのSSL暗号化通信を簡単に利用できるようにすることを目的に、本製品が生成した証明書です。
なお、認証局が発行した証明書をInterstage管理コンソールのSSL暗号化通信に使用することもできます。セキュリティを強化したい場合は、信頼できる認証局が発行した証明書で運用することを推奨します。
正式な認証局の発行証明書を使用する場合の手順について説明します。
|
# scsmakeenv -n IS-Console-SSL-Cert -f c:\temp\csr.txt -c |
|
# scsmakeenv -n IS-Console-SSL-Cert -f /usr/home/my_dir/my_csr.txt -c |
上記コマンドを実行し、要求に応じて、以下のように入力します。
|
New Password: ←Interstage証明書環境のパスワードを設定します。本パスワードがUSER-PINとなります。 |
以下のようなメッセージが出力されます。
|
SCS: 情報: scs0101: CSR(証明書取得申請書)を作成しました。<c:\temp\csr.txt> |
|
UX: SCS: 情報: scs0101: CSR(証明書取得申請書)を作成しました。</usr/home/my_dir/my_csr.txt> |
|
# scsenter -n CA-Cert -f c:\temp\ca-cert.cer |
|
# scsenter -n CA-Cert -f /usr/home/my_dir/ca-cert.cer |
|
# scsenter -n intermediateCA-Cert -f c:\temp\intermediateCA-cert.cer |
|
# scsenter -n intermediateCA-Cert -f /usr/home/my_dir/intermediateCA-cert.cer |
|
# scsenter -n IS-Console-SSL-Cert -f c:\temp\site-cert.cer -o |
|
# scsenter -n IS-Console-SSL-Cert -f /usr/home/my_dir/site-cert.cer -o |
|
# ihsregistupin -f [本製品インストールフォルダ]\gui\etc\cert\upinfile -d [本製品インストールフォルダ]\etc\security\env\smee\slot |
|
# ihsregistupin -f /etc/opt/FJSVisgui/cert/upinfile -d /etc/opt/FJSVisscs/security/env/smee/slot |
|
# ---- Configuration for SSL --- |
|
# ---- Configuration for SSL --- |
以下のサービスを再起動します。
|
"Interstage Operation Tool(FJapache)" |
再起動の手順は以下のとおりです。
|
1) Interstage HTTP Server（Interstage管理コンソール用）のプロセスをkillコマンドで停止する。 2) Interstage HTTP Server（Interstage管理コンソール用）を起動する。 注) PID_FILE:Interstage HTTP Serverの定義ファイル(httpd.conf)の、“PidFile”に設定されているパスを指定します。Interstage管理コンソール用のInterstage HTTP Serverの定義ファイルは、“/etc/opt/FJSVisgui/httpd.conf”です。 |
SSL暗号化通信において、使用可能なSSLプロトコルバージョンや暗号アルゴリズムを変更することによって、より安全性を高めることができます。
SSLプロトコルバージョンや暗号アルゴリズムを変更する場合の手順を説明します。
利用するWebブラウザから接続できるように、Webブラウザが実装しているSSLプロトコルバージョンや暗号アルゴリズムを少なくとも1つは選択するようにしてください。
|
# ---- Configuration for SSL --- |
|
# ---- Configuration for SSL --- |
注) SSLVersionディレクティブには、“2”、“3”、“3.1”、“2-3”、“2-3.1”、または“3-3.1”を指定できますが、SSL2.0で接続できないようにする場合は、“3”、“3.1” 、または“3-3.1”を指定してください。
指定・変更方法の詳細については、“Interstage HTTP Server運用ガイド”の“ディレクティブ一覧”を参照してください。
また、暗号アルゴリズムの選択については、“セキュリティシステム運用ガイド”の“セキュリティ動向”を参考にしてください。
以下のサービスを再起動します。
|
"Interstage Operation Tool(FJapache)" |
再起動の手順は以下のとおりです。
|
1) Interstage HTTP Server（Interstage管理コンソール用）のプロセスをkillコマンドで停止する。 2) Interstage HTTP Server（Interstage管理コンソール用）を起動する。 注) PID_FILE:Interstage HTTP Serverの定義ファイル(httpd.conf)の、“PidFile”に設定されているパスを指定します。Interstage管理コンソール用のInterstage HTTP Serverの定義ファイルは、“/etc/opt/FJSVisgui/httpd.conf”です。 |
Interstage管理コンソールの動作環境として“SSL暗号化通信を使用する”状態でInterstageをインストールした直後は、Webサービス(SOAP)がSSL暗号化通信するために必要なSSL定義名の作成が行われていないため、Webサービス情報編集ツールは正常に動作することはできません。
Webサービス情報編集ツールを動作するには、“SSL暗号化通信を使用しない”環境を作成するか、またはInterstage証明書環境の再構築を行う必要があります。
|
C:\Interstage\F3FMjs2su\bin\jssvstop |
|
/opt/FJSVjs2su/bin/jssvstop |
以下のプロパティファイルに“1.SSL定義名の作成"で作成したSSL定義名を指定します。
指定するプロパティ名は、“com.fujitsu.interstage.soapx.sslname”です。
C:\Interstage\F3FMsoap\etc\config.properties
/opt/FJSVsoap/etc/config.properties
斜体部分は“1.SSL定義名の作成”で作成したSSL定義名を指定します。
|
com.fujitsu.interstage.soapx.sslname=SSL定義名 |
SOAPアプリケーションがデフォルトでSSL暗号化通信を行う場合、適宜修正が必要となります。
上記のプロパティ名はjavaシステムプロパティとして使用可能で、上記の指定内容よりjavaシステムプロパティを優先してSOAPアプリケーションを実行することができます。
|
C:\Interstage\F3FMjs2su\bin\jssvstart |
|
/opt/FJSVjs2su/bin/jssvstart |
Interstage JMXサービスは、Interstage管理コンソールの実行基盤です。Interstage JMXサービスのカスタマイズを行う場合、以下のInterstage JMXサービスの環境定義ファイルを編集して変更します。
|
[本製品インストールフォルダ]\jmx\etc\isjmx.xml |
|
/etc/opt/FJSVisjmx/isjmx.xml |
<?xml version="1.0" encoding="shift_jis"?>
<isjmx>
<!-- Change or add definitions of port numbers here. -->
<port rmi="12200" internal="12210" https="12220" rmiinvoke="12230"/>
<!-- Change java VM options here. -->
<server java.home="C:\Interstage\JDK5" options="-Xmx256m -XX:MaxPermSize=128m"/>
<!-- Change the max number of MBeans here. -->
<registry max="100000"/>
<!-- Change time-out intervals here. -->
<timeout rmi="20" https="20"/>
<!-- Add the definition of the localhost IP address here. -->
<!-- <host localhost="xxx.xxx.xxx.xxx"/> -->
<!-- Change the upper limits of the login log file here. -->
<loginlog max="1"/>
<!-- Change the upper limits of the operation log file here. -->
<operationlog max="1"/>
</isjmx> |
<?xml version="1.0"?>
<isjmx>
<!-- Change or add definitions of port numbers here. -->
<port rmi="12200" internal="12210" https="12220" rmiinvoke="12230"/>
<!-- Change java VM options here. -->
<server java.home="/opt/FJSVawjbk/jdk5" options="-Xmx256m -XX:MaxPermSize=128m"/>
<!-- Change the max number of MBeans here. -->
<registry max="100000"/>
<!-- Change time-out intervals here. -->
<timeout rmi="20" https="20"/>
<!-- Add the definition of the localhost IP address here. -->
<!-- <host localhost="xxx.xxx.xxx.xxx"/> -->
<!-- Change the upper limits of the login log file here. -->
<loginlog max="1"/>
<!-- Change the upper limits of the operation log file here. -->
<operationlog max="1"/>
</isjmx> |
|
設定項目 |
設定内容 |
isjmx.xmlファイルの指定値 |
デフォルト値 |
|---|---|---|---|
|
RMIレジストリへの要求を受け付けるポート番号 |
Interstage JMXサービスがInterstage管理コンソールからの要求を受け付けるためのポート番号です。 |
portタグのrmi属性 |
12200 |
|
ポート番号 |
Interstage JMXサービスの運用に使用するポート番号です。 |
portタグのinternal属性 |
12210 |
|
SSL通信（HTTPS）で要求を受け付けるポート番号 |
Interstage JMXサービスがInterstage管理コンソールからの要求を受け付けるためのポート番号です。 |
portタグのhttps属性 |
12220 |
|
RMI通信で要求を受け付けるポート番号 |
Interstage JMXサービスがInterstage管理コンソールからの要求を受け付けるためのポート番号です。 |
portタグのrmiinvoke属性 |
12230 |
|
JDK/JREのインストールパス |
Interstage JMXサービスが使用するJDKまたはJREのインストールパスです。 |
serverタグのjava.home属性 |
Interstageのインストール時に自動設定 |
|
javaプロセスに指定するオプション情報 |
Interstage JMXサービスが使用するjavaプロセスに指定するオプション情報です。 |
serverタグのoptions属性 |
-Xmx256m -XX:MaxPermSize=128m |
|
MBeanの登録数の上限値 |
Interstage JMXサービスに登録可能なMBeanの登録数の上限値です。MBeanとは、Interstage JMXサービスが管理するリソース情報です。 |
registryタグのmax属性 |
100000 |
|
通信のタイムアウト時間 |
Interstage JMXサービスの通信のタイムアウト時間（分）です。 |
timeoutタグのrmi属性 |
20 |
|
SSL通信（HTTPS）のタイムアウト時間 |
Interstage JMXサービスのSSL通信（HTTPS）のタイムアウト時間（分）です。 |
timeoutタグのhttps属性 |
20 |
|
他のサーバとの通信を行う際に使用するIPアドレス |
Interstage JMXサービスが他のサーバとの通信を行う際に使用するIPアドレスです。 |
hostタグのlocalhost属性 |
なし |
|
Interstage JMXサービスのログインログのファイルサイズの上限値 |
Interstage JMXサービスに対するログイン要求を記録するログインログのログファイルサイズの上限値です。 |
loginlogタグのmax属性 |
1 |
|
Interstage JMXサービスの内部ログのファイルサイズの上限値 |
Interstage JMXサービスの内部ログのファイルサイズの上限値です。 |
operationlogタグのmax属性 |
1 |
注1）バージョンが5.0以上のJDK/JREを指定してください。
注2）マルチサーバ環境の場合、管理サーバ側に対して操作してください。
注3）“他のサーバとの通信を行う際に使用するIPアドレス”を設定した場合、isjmx.xmlファイルの指定値“serverタグのoptions属性”に“-Djava.rmi.server.hostname=(IPアドレス)”を設定した場合と同様の動作となります。
isjmx.xmlを変更した後、以下の手順でInterstage JMXサービスおよびInterstage管理コンソール用Servletサービスを再起動してください。
Interstage JMXサービスおよびInterstage管理コンソール用Servletサービスの停止、および、起動については“Interstage管理コンソールの起動・停止”を参照してください。
“Interstage JServlet(OperationManagement)”サービスおよび“Interstage Operation Tool”サービスを再起動してください。
Interstage JMXサービス、およびInterstage管理コンソール用Servletサービスを再起動してください。
Interstage管理コンソールは、インストール時に指定されたJDKまたはJREを利用して動作します。
Interstageのインストール後、JDKまたはJREを入れ替える場合には、以下の操作が必要です。
JServlet環境定義ファイルは、以下にあります。
C:\Interstage\F3FMjs2su\conf\jswatch.conf
/opt/FJSVjs2su/conf/jswatch.conf
Interstage管理コンソールのセションタイムアウト時間を変更する場合は、以下の手順で行います。
1)Interstage管理コンソールのセションタイムアウト時間は、以下のファイルで設定します。
|
[本製品インストールフォルダ]\gui\isAdmin\WEB-INF\web.xml |
2)上記ファイルの<session-timeout>タグに設定した値で設定します。単位は分で、指定可能な範囲は1〜35791394です。タグを省略した場合は、30が設定されます。-35791394〜-2の負の値を記述した時にはタイムアウトしません。
タイムアウトしない設定にした場合、Interstage管理者以外の第3者により不正操作される可能性が高くなり、セキュリティ上の問題が発生することが考えられるため、タイムアウトしない設定を使用する場合は注意してください。
|
<session-config> |
3) Interstage JServlet(OperationManagement)サービスを再起動します。
1)Interstage管理コンソールのセションタイムアウト時間は、以下のファイルで設定します。
|
/opt/FJSVisgui/isadmin/WEB-INF/web.xml |
2)上記ファイルの<session-timeout>タグに設定した値で設定します。単位は分で、指定可能な範囲は1〜35791394です。タグを省略した場合は、30が設定されます。-35791394〜-2の負の値を記述した時にはタイムアウトしません。
タイムアウトしない設定にした場合、Interstage管理者以外の第3者により不正操作される可能性が高くなり、セキュリティ上の問題が発生することが考えられるため、タイムアウトしない設定を使用する場合は注意してください。
|
<session-config> |
3)以下のコマンドを実行して、Interstage JServlet (OperationManagement)を再起動してください。
|
/opt/FJSVjs2su/bin/jssvstop |
Interstage JMXサービスを運用するサーバが複数のIPアドレスを持ち、それらのIPアドレスの中で、クライアントでpingコマンドを実行した場合に、接続できないIPアドレスをサーバが持っている場合に、Interstage JMXサービスにRMI通信しようとすると、以下のいずれかのエラーが発生する場合があります。
|
IS: エラー: is20711:通信エラーが発生しました エラー情報=%s |
上記エラーが発生した場合、以下のいずれかの対処を行ってください。
“Interstage Operation Tool”サービスを再起動します。
isjmxstopコマンドでInterstage JMXサービスを停止したあと、isjmxstartコマンドでInterstage JMXサービスを再起動します。
|
目次
索引
|