実装ガイド › 環境の計画 › サーバの計画 › サーバ ロール

サーバ ロール

CA User Activity Reporting Module システムでは 1 つ以上のサーバを使用できます。 さまざまなサーバをさまざまなロール専用にすると、パフォーマンスが最適化されます。 ただし、各自の判断により、任意のサーバを使用して複数のロールを実行したり、すべてのロールを実行したりすることができます。 インストールした各サーバを特定のロール専用にする方法を決定する場合、環境内の他の関連要因に関して、各サーバに関連付けられた処理の負荷を考慮します。

• 管理サーバ

  デフォルトでは、管理サーバ ロールは、最初にインストールされた CA User Activity Reporting Module サーバによって実行されます。 管理サーバは主に次のような機能を実行します。

  • このサーバに登録されたすべてのサーバの共通のリポジトリとしての機能。 特に、アプリケーション ユーザ、アプリケーション グループ（ロール）、ポリシー、カレンダ、および AppObjects を保存します。
  • ユーザ ストアを内部ストアに設定した場合は、グローバル ユーザ、グローバル グループ、およびパスワード ポリシーも保存します。 設定されたユーザ ストアが外部ユーザ ストアを参照する場合、参照するユーザ ストアからグローバル ユーザ アカウントの詳細とグローバル グループの詳細をロードします。
  • 高速メモリにマッピングされたファイルを使用したユーザ資格情報の処理。 ログイン時にはユーザとグループの設定に基づいてユーザを認証します。 ポリシーとカレンダに基づいて、ユーザ インターフェースのさまざまな部分へのアクセスをユーザに許可します。
  • サブスクリプションを通じてダウンロードしたすべてのコンテンツと設定の更新の受信。

  CA User Activity Reporting Module サーバのネットワークでは 1 つの管理サーバのみを有効にできますが、フェイルオーバー用（非アクティブ）の管理サーバを使用できます。 複数の CA User Activity Reporting Module ネットワークを作成する場合は、それぞれのネットワークで有効な管理サーバを使用する必要があります。

• 収集サーバ

  単一のサーバ システムでは、管理サーバが収集サーバのロールを実行します。 2 台以上のサーバ システムでは、専用の収集サーバの使用を検討してください。 収集サーバは次のような機能を実行します。

  • コネクタの設定をサポートします。
  • エージェントのコネクタからの受信イベント ログを受け入れます。
  • 精製されたイベント ログを受信します。それらは解析されて CEG 形式にマップされるため、異なるイベント ソースからのイベント データを同一の形式で表示できるようになります。
  • イベント ログをホット データベースに挿入し、ホット データベースが設定したサイズに到達すると、それをウォーム データベースに圧縮します。
  • 自動アーカイブを許可して、ウォーム データベース情報を、設定されたスケジュールで関連するレポート サーバに移動できるようにします。

    重要： 収集およびレポーティング用に個別のサーバを割り当てた場合、収集サーバからレポート サーバに対して、非対話型の認証を設定し、1 時間ごとの自動アーカイブを設定する必要があります。

  イベントの収集と調整専用にサーバを割り当てるかどうかを決定する場合は、イベント ソースが生成するイベント ボリュームを考慮します。 また、何台の収集サーバが 1 つのレポート サーバに対してデータの自動アーカイブを行うかについても検討します。

• 相関サーバ

  単一のサーバ システムでは、管理サーバが相関サーバのロールを実行します。 2 台以上のサーバ システムでは、専用の相関サーバを使用することを検討してください。 相関サーバは、以下の機能を実行します。

  • 相関ルールおよび通知の設定と適用をサポートします。
  • 収集サーバからイベント ログを受信します。
  • 受信イベントをフィルタし、相関ルール条件に従ってインシデントを作成します。
  • インシデントをインシデント データベースに格納し、それらのコンポーネント イベントをインシデント イベント データベースに格納します。

    重要： 専用の相関サーバを使用する場合は、相関サービスを設定するときに、相関させるイベントが存在するすべての収集サーバを選択する必要があります。

• レポート サーバ

  1 台のサーバまたは 2 台のサーバ システムでは、管理サーバがレポート サーバのロールを実行します。 多くのサーバを持つシステムでは、1 つ以上のサーバをレポート専用にすることを検討します。 レポート サーバは次のような機能を実行します。

  • 非対話型認証と自動アーカイブが設定されている場合、その収集サーバから調整済みイベントの新しいデータベースを受信します。
  • オンデマンド プロンプト、クエリ、およびレポートを処理します。
  • スケジュール済みアラートやレポートを処理します。
  • カスタム クエリおよびレポートを作成するためのウィザードをサポートします。
  • レポーティング サーバからリモートのストレージ サーバに対して、非対話型の認証および自動アーカイブが設定されている場合、古いデータベースをリモート ストレージ サーバに移動します。

  オンデマンド アクティビティが多いサーバで多くの複雑なレポートやアラートを生成する予定である場合は、レポート専用のサーバを検討します。

• リモート ストレージ サーバ

  リモート ストレージ サーバ（CA User Activity Reporting Module サーバではない場合があります）は、以下の機能を実行します。

  • 有効期限や空きディスク領域の不足によってデータベースが削除される前に、高い圧縮率で自動アーカイブされたそれらのデータベースを設定された間隔でレポート サーバから受信します。 自動アーカイブを設定すると、手動でデータベースを移動する手間を省くことができます。
  • コールド データベースをローカルに保存します。 オプションで、これらのデータベースを、サイト外の長期保管用の場所に移動またはコピーできます。 通常、コールド データベースは、政府の規制機関によって命令された数年間は保持されます。

  リモート ストレージ サーバは CA User Activity Reporting Module の連携の一部にはなりません。 ただし、アーキテクチャを計画する場合は考慮する必要があります。

• 復元ポイント サーバ

  一般的に、レポート サーバは、以前保持したデータベースの復元ポイント サーバとして動作します。 大規模なネットワークの場合は、このロール専用の CA User Activity Reporting Module サーバを用意することを検討します。 復元ポイント サーバは次のような機能を実行します。

  • 古いイベント ログの検証に使用します。
  • すべてのコールド データベースを保持するリモート ストレージ サーバから復元されたデータベースを受信します。 ストレージ サーバから復元ポイントに対して非対話型認証を最初に設定している場合は、restore-ca-elm.sh ユーティリティを使用して、データベースを復元ポイントに移動できます。
  • アーカイブ カタログを再作成して、復元されたデータベースをそのレコードに追加します。
  • 復元されたレコードを、復元の方法に応じて設定されたさまざまな期間にわたって保持します。

  専用の復元ポイントを持つ利点は、連携からこのサーバを除外して、復元された古いデータを含む連携レポートを作成しないようにすることができる点です。 復元ポイント サーバで生成されたレポートはすべて、復元されたデータベースからのイベント データのみを反映します。

サーバを特定のロール専用にしても、他のロールに関連付けられたサーバから機能を実行できないわけではありません。 専用の収集サーバとレポート サーバがある環境を考えてみます。 できるだけ速く通知するにはスピードが重要であるため、収集サーバで状態をチェックするアラートを設定する場合は、そうした設定を行う柔軟性もあります。