10.3 監査ログ管理の設定例

監査ログ管理機能を使用した設定例について説明します。

構成

運用管理サーバの保管ディレクトリ：C:\AuditLogdir
被管理サーバの転送のための転送用ディレクトリ：Systemwalker Centric Managerインストール時の初期値を変更せず使用

設定

被管理サーバ側の設定

収集対象ログファイルを登録します。
被管理サーバ(ホスト名：GyomuServer)上で、収集対象ログファイルの登録を行います。
設定方法として、mpatmdef（ログ収集一括定義コマンド）の入力ファイルに記載する方法と、mpatmlogapdef（ログ収集設定コマンド）のパラメタに指定する方法、およびmpatmpset(監査ログ管理ポリシー情報移入コマンド)でポリシーを使用して設定する方法があります。
- mpatmdef（ログ収集一括定義コマンド）の入力ファイルに記載する場合
  上記の構成でmpatmdef（ログ収集一括定義コマンド）の入力ファイルへの記載は以下のとおりです。
```
TRANSDEF,
LOGDEF,
APDEF,
ADD,Applilog,YES,NO,ASC,”c:\Gyoumu1\Job*.log”,”C:\Systemwalker\Mpwalker.dm\MpAtm\fmt\mpatmunixsyslog.fmt”,,,,
```
- mpatmlogapdef（ログ収集設定コマンド）のパラメタに指定する場合
  上記の構成でmpatmtrsdef（ファイル転送情報定義コマンド）に指定するパラメタは以下のとおりです。
```
mpatmlogapdef ADD -A Applilog -E YES -M ASC -L ”C:\Gyoumu1\Job*.log” -F C:\Systemwalker\Mpwalker.dm\MpAtm\fmt\mpatmunixsyslog.fmt
```
- mpatmpset(監査ログ管理ポリシー情報移入コマンド)でポリシーを使用する場合
  運用管理サーバから本コマンドを実行し、ポリシーを適用して設定します。ポリシー設定については、“ポリシーを使用して設定する”を参照してください。
運用管理サーバ上で収集対象ログファイルの設定を行う場合、以下のサービス/デーモンが起動されている必要があります。
- Windows：「Systemwalker ACL Manager」サービス
- UNIX：「MpFwsec」デーモン
収集対象サーバを設定します。
設定方法として、テキストエディタにより編集する方法と、ポリシーを使用して設定する方法があります。詳細については、“収集対象のサーバを限定する”を参照してください。

運用管理サーバ側の設定

運用管理サーバ上では以下の設定を行います。

格納ディレクトリの設定
設定方法として、mpatmdef（ログ収集一括定義コマンド）の入力ファイルに記載する方法と、mpatmlogapdef（ログ収集設定コマンド）のパラメタに指定する方法、およびmpatmpset(監査ログ管理ポリシー情報移入コマンド)でポリシーを使用して設定する方法があります。
- mpatmdef（ログ収集一括定義コマンド）の入力ファイルに記載する場合
  上記の構成でmpatmdef（ログ収集一括定義コマンド）の入力ファイルへの記載は以下のとおりです。
```
TRANSDEF,
REP,C:\AuditLogdir,,
LOGDEF,
APDEF,
```
- mpatmtrsdef（ファイル転送情報定義コマンド）のパラメタに指定する場合
  上記の構成でmpatmtrsdef（ファイル転送情報定義コマンド）に指定するパラメタは以下のとおりです。
```
mpatmtrsdef REP -S C:\AuditLogdir
```
- mpatmpset(監査ログ管理ポリシー情報移入コマンド)でポリシーを使用する場合
  運用管理サーバから本コマンドを実行し、ポリシーを適用して設定します。ポリシー設定については、“ポリシーを使用して設定する”を参照してください。
格納ディレクトリを設定した場合、以下のユーザだけに限定するように格納ディレクトリのアクセス権を変更します。
- Windows： Administrators権限、およびSYSTEM権限
- UNIX : root権限
また、UNIX環境でNFSマウントしたネットワーク上のパスを格納ディレクトリに指定する場合は、事前に問題なくパスにアクセスできることを確認してください。ファイルサーバのダウンなどが原因でパスが利用できない場合、NFSタイムアウトが発生するまで処理が終了しません。
格納ディレクトリの設定を行う場合、以下のサービス/デーモンが起動されている必要があります。
- Windows：「Systemwalker ACL Manager」サービス
- UNIX：「MpFwsec」デーモン
収集するためのスケジュールの設定
ツール(タスクスケジューラなど)を使用し、運用に合わせた時間でmpatmlog(ログ収集コマンド)をスケジュール設定します。

中継サーバ側の設定

中継サーバを設定する場合は以下の設定を行います。

全体監視サーバで監査ログを管理し、運用管理サーバ上で中継サーバの設定を行う場合は、以下のサービス/デーモンが起動されている必要があります。

Windows：「Systemwalker ACL Manager」サービス
UNIX：「MpFwsec」デーモン

中継サーバを設定します。
mpatmsvrtypedef(サーバ種別設定コマンド)を使用して設定してください。
```
mpatmsvrtypedef REP -R
```
格納ディレクトリを設定します。
中継サーバは、運用管理サーバと被管理サーバを兼用します。運用管理サーバと同様に格納ディレクトリを設定してください。
収集対象ログファイルを登録します。
中継サーバ上のログを収集したい場合は、被管理サーバと同様に収集対象ログファイルを登録してください。
被管理サーバから収集したログを運用管理サーバに転送するための定義を行います。
mpatmlogapdef(ログ収集設定コマンド)を使用して設定してください。
mpatmlogapdef(ログ収集設定コマンド)に指定するログ識別名には、被管理サーバと同一のログ識別名を設定する必要はありません。任意のログ識別名を指定してください。
また、収集対象ログファイル名の文字コードには、監査ログ管理で収集したログファイル名に付加されている文字コードを指定します。収集したログファイル名については、“監査ログの一覧を参照する”を参照してください。
収集対象ログファイル名の指定方法
収集対象ログファイル名は、以下のように指定します。
被管理サーバの、すべてのテキストログファイルを収集する場合
```
mpatmlogapdef ADD -A ログ識別名 -M ASC -L "格納ディレクトリ\被管理サーバ名_*_文字コード_*.log"
```
被管理サーバから収集したテキストログを運用管理サーバに転送する場合、日付書式定義ファイルの指定は省略可能です。ただし、省略する場合、事前にmpatmsvrtypedef(サーバ種別設定コマンド)で中継サーバの設定を行っておく必要があります。
日付書式定義ファイルの指定を省略した場合は、「mpatmsavelog.fmt」が設定されています。
なお、日付書式定義ファイルの指定を省略した場合は、テキストログファイルとしてログ収集します。
被管理サーバの、すべてのバイナリログファイルを収集する場合
```
mpatmlogapdef ADD -A ログ識別名 -M ASC -L "格納ディレクトリ\被管理サーバ名_*_B_*.log" -F BIN
```
バイナリログファイルの場合は、日付書式定義ファイルに「BIN」を指定します。
被管理サーバの、指定したログ識別子がファイル名に含まれるテキストログファイルを収集する場合
```
mpatmlogapdef ADD -A ログ識別名 -M ASC -L "格納ディレクトリ\被管理サーバ名_ログ識別名_文字コード_*.log"
```
被管理サーバの、指定したログ識別子がファイル名に含まれるバイナリログファイルを収集する場合
```
mpatmlogapdef ADD -A ログ識別名 -M ASC -L "格納ディレクトリ\被管理サーバ名_ログ識別名_B_*.log" -F BIN
```
mpatmlogapdef(ログ収集設定コマンド)の詳細については、“Systemwalker Centric Managerリファレンスマニュアル”を参照してください。
設定時には、以下の点に注意してください。
- ログ識別名は、任意の名前を指定してください。被管理サーバ名とログ識別名と組み合わせた名前を用いると管理がしやすくなります。
  中継したログには、ログファイル名にログ識別名を付加しません。そのため、運用管理サーバには被管理サーバから収集したファイル名のまま収集します。
- 収集対象ログファイルがバイナリログファイルで、mpatmlogapdefコマンドに「ADD」、または「REP」を指定した場合は、「-F BIN」を必ず指定してください。
- 以下の場合、mpatmlog(ログ収集コマンド)を実行すると、「mpatm: エラー: 990」を出力してエラー終了します。
  【収集対象ログファイル名の文字コード指定を省略した場合】
  収集対象ログファイル名の文字コード指定を省略すると、収集対象ログファイルにテキストログファイルとバイナリログファイルが混在してログ収集される可能性があります。
  例)
  収集対象ログファイル名に「格納ディレクトリ\被管理サーバ名_ログ識別名_*.log」のように指定した場合
  【収集対象ログファイル名の文字コードと異なる日付書式定義ファイル名を指定した場合】
  収集対象ログファイル名の文字コードと異なる日付書式定義ファイル名を指定すると、誤った文字コードでログ収集します。
  例1)
  テキストログファイルを収集するのに日付書式定義ファイルに「BIN」を指定した場合
  例2)
  バイナリログファイルを収集するのに日付書式定義ファイルに「mpatmsavelog.fmt」を指定した場合
  例3)
  日付書式定義ファイルの指定を省略した場合
- ファイル名の長さが6バイト以上のバイナリログファイルをテキストログファイルとして収集した場合、以下の例のようにログファイル名が不当な状態でログ収集が正常終了する場合があります。
  例)
  中継サーバ上の格納ディレクトリ内のログファイル：svr_id_B_20070514_wtmp01_0001.log
  運用管理サーバ上に収集されるログファイル名：svr_id_B__0001.log
収集対象サーバを設定します。
被管理サーバと同様に、収集するサーバを設定してください。
収集するためのスケジュールを設定します。
運用管理サーバと同様に、ツール(タスクスケジューラ等)を使用し、運用に合わせた時間でmpatmlog(ログ収集コマンド)をスケジュール設定してください。
ただし、中継サーバからの収集をツール(タスクスケジューラ等)で設定した場合は、運用管理サーバからの収集のスケジュールを、中継サーバの収集が完了した後に行うように設定してください。

収集状況

監査ログ管理機能は、ログが出力された順序に従って収集します。

ログの日付が翌日になったことを検出した時点で収集ファイル(格納)の日付を更新します。

監査ログ管理機能による収集状況は、以下のとおりです。

日付順に格納されるログファイルの収集

日付が混在するログファイルの収集
- 処理中の日付より過去の日付のログは、収集対象期間内の日付の場合、処理中の日付の収集ファイルに格納します。
日付のないログが格納されるログファイルの収集
- 日付のないログを検出したときに、処理中の日付が明確になっている場合は、その処理中の日付の収集ファイルに格納します。
- 日付のないログを検出した時に、処理中の日付が明確になっていない場合は、日付が明確になった時点で、その日付の収集ファイルに格納します。
- 日付のないログしか存在しない場合は、ログ収集を実施した日付の収集ファイルに格納します。
  また、日付書式定義ファイルの形式とログ形式が一致しない場合も同様です。
日付が収集日よりも未来のログが格納されるログファイルの収集
- 未来日付のログを検出したときに、処理中の日付が明確になっている場合は、その処理中の日付の収集ファイルに格納します。
- 未来日付のログを検出したときに、処理中の日付が明確になっていない場合は、日付が明確になった時点で、その日付の収集ファイルに格納します。
- 未来日付のログしか存在しない場合は、ログ収集を実施した日付の収集ファイルに格納します。

監査ログ管理の収集について

収集対象のログを複数回転送される場合(上記の場合、2006/05/07のデータが複数回転送されている)は、運用管理サーバ側で、2006/05/07のログデータとしてまとめて管理します。
収集を行う間隔は、ログを出力する製品・機能の以下の内容を考慮して決めてください。
- 出力するログ出力数
- ログを出力する製品の運用状況
- ネットワーク容量