バージョン管理
バージョン | 改訂日 | 変更の種類 | 発効日 |
1.0 | 2018/5/25 |
はじめに
このガイドでは、Alibaba Cloud にデプロイされた SAP MaxDB システムを運用するためのベストプラクティスについて説明します。このガイドは、標準の SAP ドキュメントに代わるものではありません。
管理
このセクションでは、Alibaba Cloud での SAP MaxDB システムの運用に必要な一般的な管理タスクの実行方法を示します。これには、システムの起動、停止、およびクローン作成に関する情報が含まれます。
ECS インスタンスの起動と停止
SAP MaxDB ホストはいつでも停止できます。ベストプラクティスとして、インスタンスを停止する前に、Alibaba Cloud ECS インスタンスで実行されている SAP MaxDB を停止する必要があります。インスタンスを再開すると、ECS インスタンスは以前と同じ IP アドレス、ネットワーク、およびストレージ構成で自動的に起動されます。
SAP MaxDB システムのカスタマイズされたイメージの作成
Alibaba Cloud のカスタムイメージを使用すると、スケーリング要件に合わせて、同一の OS および環境データを持つ複数の ECS インスタンスを作成できるため、ECS インスタンスを効果的に実行できます。
Alibaba Cloud 管理コンソールを使用して、既存のインスタンスに基づいて独自のカスタムイメージを作成できます。詳細については、Alibaba ドキュメントの「スナップショットを使用してカスタムイメージを作成する」セクションをご参照ください。以下のようにイメージを使用できます。
完全なオフライン MaxDB システムバックアップ（OS、/usr/sap、データ、ログ、バックアップファイル）を作成する。
イメージを使用して ECS インスタンスを作成したり、ECS インスタンスのシステムディスクを変更したりできます。
SAP MaxDB システムをあるリージョンから別のリージョンに移動する - 既存の Alibaba Cloud ECS インスタンスのイメージを作成し、Alibaba Cloud ドキュメントの指示に従って別のリージョンに移動します。カスタムイメージを別のリージョンにコピーして、複数のリージョンで一貫した環境とアプリケーションデプロイを維持することもできます。
SAP MaxDB システムのクローン作成 - 既存の SAP MaxDB システムのイメージを作成して、システムの正確なクローンを作成できます。このドキュメントの次のセクションを参照してください。
注：一貫性のある状態の SAP Max システムのイメージを作成するには、作成前に SAP MaxDB インスタンスを停止する必要があります。
SAP MaxDB システムのクローン作成
SAP MaxDB システムのクローンを作成すると、同じゾーン内の Alibaba Cloud ECS に SAP MaxDB システムのイメージを作成できます。通常、オペレーティングシステムとプリインストールされた SAP MaxDB ソフトウェア、および同じストレージシステムレイアウトが含まれます。
アカウント管理
Alibaba Cloud での SAP MaxDB システムの管理中に、以下の 3 種類の管理者アカウントがあります。
Alibaba Cloud アカウント - Alibaba Cloud 製品とサービスを使用する前に、Alibaba Cloud Web サイトで Alibaba アカウントを作成する必要があります。このアカウントを使用して、Alibaba Cloud Web サイトから ECS の管理、VPC の構成、SAP MaxDB システムのイメージまたはスナップショットの管理を行うことができます。
ECS インスタンス管理者アカウント - ECS インスタンスが作成されると、管理者アカウント（通常は root）が OS レベルで作成されます。Alibaba Cloud はオペレーティングシステム内にアカウントを作成しません。デフォルトの Linux システムユーザーは root ユーザーのみです。システムの使用中に、ユーザーはオペレーティングシステムで必要なユーザーアカウントを作成または削除できます。
SAP MaxDB データベースシステム管理者 - SAP MaxDB のインストール中に SID を指定する必要があります。SAP MaxDB はシステムアカウントとして [sid]adm を使用し、デフォルトでこのアカウントを作成します。
ネットワーク
ECS 仮想ネットワークを使用して、ECS で SAP MaxDB システムをプロビジョニングしています。SAP MaxDB のデフォルトのネットワークタイプとして、Virtual Private Cloud（VPC）を使用することを強くお勧めします。Alibaba Cloud VPC は、Alibaba Cloud に構築されたプライベートネットワークです。Alibaba Cloud の他の仮想ネットワークから論理的に分離されています。VPC を使用すると、独自の VPC で Alibaba Cloud リソースを起動して使用できます。
Alibaba Cloud VPC を完全に制御できます。たとえば、IP アドレス範囲を選択したり、VPC をサブネットにさらにセグメント化したり、ルートテーブルとネットワークゲートウェイを構成したりできます。Alibaba ドキュメントの Virtual Private Cloud のユーザーガイドを参照してください。さらに、物理接続または VPN を使用して VPC をオンプレミスネットワークに接続し、オンデマンドのカスタマイズ可能なネットワーク環境を形成できます。これにより、アプリケーションを Alibaba Cloud にスムーズに移行できます。
セキュリティの分離
デフォルトでは、異なるユーザーのクラウドサーバーは異なる VPC に配置されます。
異なる VPC はトンネル ID によって分離されます。vSwitch と VRouter を使用すると、従来のネットワーク環境と同様に、VPC をサブネットにセグメント化できます。同じサブネット内の異なるクラウドサーバーは vSwitch を使用して相互に通信しますが、VPC 内の異なるサブネット内のクラウドサーバーは VRouter を使用して相互に通信します。
異なる VPC 間のイントラネットは完全に分離されており、IP の外部マッピング（Elastic IP および NAT IP）によってのみ相互接続できます。
クラウドサーバーの IP パケットはトンネリング ID でカプセル化されているため、クラウドサーバーのデータリンク層（2 層 MAC アドレス）は物理ネットワークに転送されません。したがって、異なるクラウドサーバーの 2 層ネットワークは分離されます。言い換えれば、異なる VPC 間の 2 層ネットワークは分離されています。
VPC 内の ECS インスタンスは、セキュリティグループファイアウォールを使用してネットワークアクセスを制御します。これは 3 層分離です。
NAT ゲートウェイ
セキュリティポリシーで真に内部 VM が必要な場合は、ネットワークで NAT プロキシを手動で設定し、VM がインターネットにアクセスできるように対応するルートを設定する必要があります。SSH を使用して完全に内部 VM インスタンスに直接接続することはできないことに注意することが重要です。このような内部マシンに接続するには、外部 IP アドレスを持つ bastion インスタンスを設定し、それを介してトンネリングする必要があります。bastion インスタンスの設定方法については、Alibaba Cloud の SAP MaxDB デプロイメントガイドを参照してください。VM に外部 IP アドレスがない場合、ネットワーク上の他の VM、またはマネージド VPN ゲートウェイを介してのみアクセスできます。ネットワークで VM をプロビジョニングして、bastion ホストと呼ばれる受信接続、または NAT ゲートウェイと呼ばれるネットワーク出力の信頼できるリレーとして機能させることができます。このような接続を設定せずに透過的な接続を実現するには、マネージド VPN ゲートウェイリソースを使用できます。
セキュリティグループ
セキュリティグループは、同じリージョン内の同じセキュリティ要件と相互信頼を持つインスタンスをグループ化する論理グループです。各インスタンスは少なくとも 1 つのセキュリティグループに属し、作成時に指定する必要があります。同じセキュリティグループ内のインスタンスはネットワークを介して通信できますが、異なるセキュリティグループ内のインスタンスはデフォルトではイントラネットを介して通信できません。ただし、2 つのセキュリティグループ間で相互アクセスを承認できます。
セキュリティグループは、ステートフルパケット検査（SPI）を提供する仮想ファイアウォールです。セキュリティグループは、1 つ以上の ECS のネットワークアクセス制御を設定するために使用されます。セキュリティ分離の重要な手段として、セキュリティグループはクラウド上のセキュリティドメインを分割するために使用されます。Alibaba ドキュメントのセキュリティグループのユーザーガイドを参照してください。
SAProuter を使用した SAP サポートアクセス
SAProuter は、顧客のネットワークと SAP 間のリモート接続を提供するソフトウェアアプリケーションです。状況によっては、SAP サポートエンジニアが Alibaba Cloud 上の SAP MaxDB システムにアクセスできるようにする必要がある場合があります。SAProuter を使用するための唯一の前提条件は、顧客のネットワークから SAP ネットワークへのネットワーク接続です。
Alibaba Cloud の ECS から SAP への直接サポート接続を設定する場合は、次の手順に従います。
SAProuter ソフトウェアをインストールする ECS インスタンスを起動し、Elastic IP（EIP）リソースを購入し、ECS インスタンスを再起動せずに VPC ECS インスタンスに動的にバインドします。
SAProuter インスタンス用に、SAP サポートネットワークへの必要なインバウンドおよびアウトバウンドアクセスのみを許可する特定のセキュリティグループを TCP ポート 3299 とともに作成および構成します。
SAP ノート 1628296 に従って SAProuter ソフトウェアをインストールし、SAP から Alibaba Cloud 上の SAP MaxDB システムへのアクセスを許可する saprouttab ファイルを作成します。
SAP との接続を設定します。インターネット接続には、Secure Network Communication（SNC）を使用します。詳細については、SAP リモートサポート - ヘルプを参照してください。
セキュリティ
IaaS デプロイメントと SAP MaxDB システムの実装では、Alibaba Cloud はクラウドをサポートするインフラストラクチャのセキュリティを維持し、顧客は顧客が使用するクラウドリソースとアプリケーションのセキュリティを確保する責任があります。
Alibaba Cloud 上の SAP MaxDB 環境に必要なセキュリティレベルを達成するのに役立つ追加の Alibaba Cloud セキュリティリソースを以下に示します。
リソースアクセス管理
Alibaba Cloud Resource Access Management（RAM）は、ID およびアクセス制御サービスであり、ユーザー（従業員、システム、またはアプリケーションを含む）を一元管理し、権限レベルを通じてリソースへのアクセスを安全に制御できます。これにより、RAM を使用すると、選択した高権限ユーザー、企業担当者、およびパートナーのみに Alibaba Cloud リソースへのアクセス権限を安全に付与できます。これは、クラウドリソースの安全かつ適切な使用を保証し、アカウントへの不要なアクセスから保護するのに役立ちます。Alibaba ドキュメントのリソースアクセス管理のユーザーガイドを参照してください。
アクセスに関する通知
Alibaba Cloud メッセージセンターでは、ユーザーが通知をサブスクライブし、メールや SMS メッセージなどの通知チャネルを構成できます。サーバーに SSH ログインがあると、ユーザーに通知されます。
Server Guard
Alibaba Cloud Server Guard は、サーバーとデータベースのリアルタイムモニタリングを提供する信頼性が高く安全なサービスです。公開されている脆弱性を 24 時間体制で監視することで、サービスとアプリケーションの最適な可用性を確保します。Alibaba ドキュメントの Server Guard のユーザーガイドを参照してください。ログインセキュリティには、次のような対策があります。
ネットワーク全体の一般的な Web ソフトウェアの脆弱性をリアルタイムで監視します。
ユーザーは、脆弱性パッチ（公式パッチのリリース前に利用可能）を含む、Alibaba Cloud セキュリティの緊急脆弱性対応機能にアクセスできます。
脆弱性が公開されてから公式パッチがリリースされるまでの間に、ユーザーがワンクリックで脆弱性を修復し、ハッカー攻撃を阻止できます。
バックアップとリカバリ
バックアップは、記録システムを保護するために不可欠です。SAP MaxDB ワークロードが少ないときに定期的にバックアップを作成し、予期しないシステム障害からリカバリできます。Alibaba Cloud でのバックアップとリカバリに関する重要なポイントを以下に示します。
Alibaba Cloud での SAP MaxDB バックアップの最終保存先
従来のオンプレミスインフラストラクチャと比較した Alibaba Cloud での SAP MaxDB のバックアップの主な違いは、最終バックアップ保存先です。オンプレミスインフラストラクチャで使用される一般的な最終バックアップ保存先はテープです。Alibaba Cloud では、バックアップは代わりに OSS に保存されます。Alibaba Cloud OSS にバックアップを保存することには、テープと比較して多くの利点があります。たとえば、OSS バケット内のオブジェクトを無制限に読み取り、書き込み、削除、および保存できます。OSS は複数の場所にオブジェクトのコピーを 3 つ保存して 99.999999999% のデータ信頼性を確保します。多層セキュリティ、不正ログイン試行の監視、DDoS 攻撃保護、データアクセス ポリシーなどの組み込みセキュリティメカニズムなどです。
デフォルトでは、Alibaba Cloud では、SAP MaxDB ECS インスタンスは、SAP MaxDB データベースの初期ローカルバックアップ保存先としてクラウドディスクを使用して構成されます。SAP MaxDB バックアップは最初にこれらのローカルクラウドディスクボリュームに保存され、次に長期保存のために OSS にコピーされます。
バックアップへの ID とアクセスの管理
OSS バケットのバックアップへのアクセスを許可するには、RAM コンソールでアクセスルールを使用してユーザーを構成する必要があります。次の手順を参照してください。
OSS アクセスを指定するユーザーを選択し、「承認」をクリックします。
承認ポリシー「AliyunOSSFullAccess」を選択します。
アカウント所有者として、電話認証で確認コードを入力するように求められます。
電話認証後、ポリシー管理パネルでアクセスを確認できます。
カスタマイズされたポリシーを作成する場合は、ポリシー管理パネルからも作成できます。詳細については、「RAM ポリシー管理」をご参照ください。
非本番 SAP MaxDB データベースのバックアップとリカバリ
このセクションでは、非本番システムのバックアップオプションについて説明します。非本番システムの例は次のとおりです。
デモシステム
トレーニングシステム
サンドボックスシステム
概念実証システム
試用システム
非本番システムの一般的な要件：
まれなバックアップ
ポイントインタイムリカバリの要求なし
シンプルで低コスト
クラウドディスクスナップショットは、シンプルで低コストのバックアップサービスを提供し、非本番システムの要件を満たすために活用できます。非常に柔軟なスナップショットポリシーがあります。たとえば、ユーザーは 1 時間ごとに 1 日に数回スナップショットを作成したり、毎週のスナップショットの定期的な日として任意の日を選択したり、スナップショットの保存期間を指定したり、永続的に保存したりできます。自動スナップショットの最大数に達すると、最も古い自動スナップショットが削除されることに注意してください。クラウドディスクスナップショットの詳細については、「概要」をご参照ください。
また、クラウドディスクスナップショットを使用してバックアップを行う前に、SAP ノート：1928060 - ファイルシステムバックアップを使用したデータのバックアップとリカバリを確認してください。ディスクスナップショットを作成する前に、特定の前提条件を満たす必要があります。
バックアップ方法
システムディスク（/usr/sap）、データファイルシステムとログファイルシステムのデータディスクなど、SAP MaxDB ECS インスタンスに接続されているクラウドディスクボリュームの自動スナップショットを構成して、定期的にスナップショットを作成できます。
復元方法
スナップショットを使用して、非本番システムの SAP MaxDB ECS インスタンス全体を手動で復元できます。
本番 SAP MaxDB データベースのバックアップとリカバリ
このセクションで説明するバックアップオプションは、本番システムに共通する次のバックアップ要件に対応しています。
スケジュールに基づく頻繁なバックアップ
ポイントインタイムデータベースリカバリ
バックアップ方法
デフォルトでは、Alibaba Cloud プラットフォームでは、SAP MaxDB データベースの初期ローカルバックアップ保存先は、SAP MaxDB ECS インスタンスに接続されているクラウドディスクボリュームに構成されています。
ユーザーは SQL コマンドまたは SAP DBA Cockpit を使用して、SAP MaxDB データバックアップを開始またはスケジュールできます。ログバックアップは無効にしない限り自動的に書き込まれます。
ユーザーは、ローカルクラウドディスク上の SAP MaxDB データベースバックアップファイルを Alibaba Cloud OSS にコピーして長期保存できます。
リージョン間の冗長性が必要な場合は、OSS 上のバックアップファイルを異なるリージョンにレプリケートするように構成できます。
復元方法
OSS 内のバックアップファイルを SAP MaxDB ECS インスタンスのバックアップディレクトリのクラウドディスクにコピーします。
バックアップクラウドディスクのバックアップファイルに基づいて SAP MaxDB データベースを復元およびリカバリします。