Exadata Database Service on Dedicated Infrastructure (ExaDB-D)における管理作業において、Exadata VMクラスタ層とインフラストラクチャ層でそれぞれメンテナンス対応が必要となります。

以下表のようにExadata VMクラスタ層ではExadataイメージ更新やパッチ適用作業が、

インフラストラクチャ層では四半期もしくは月次ごとに行われるメンテナンスがあります。

本記事では月次セキュリティメンテナンスを実施する上でのポイントについて、実際にExaDB-Dを運用している経験を踏まえて記載します。

月次セキュリティメンテナンスの目的と範囲について

月次セキュリティメンテナンスの目的

インフラストラクチャ層への月次で行われるメンテナンスは、

CVSSスコアが 7 以上の重大なセキュリティ脆弱性および製品問題への修正のためのメンテナンスとなります。

月次セキュリティメンテナンス範囲

ExaDB-Dのメンテナンスについては、Oracle社および利用者側でメンテナンス範囲が異なります。

今回の主題である月次セキュリティメンテナンスの範囲は、Oracle社が管理するインフラストラクチャ部分の、データベースサーバおよびストレージサーバとなります。

月次セキュリティメンテナンス想定所用時間

メンテナンスにて想定される所用時間は、ExaDB-D最小構成の2ノード／3ストレージで約3時間かかる見込みとなります。(大規模構成の場合は更に時間を要します)

ただ実際には30分前後で終わることもあり、見込み時間より短い時間で終わることがしばしばあります。

月次セキュリティメンテナンスの影響について

月次セキュリティメンテナンス影響

データベースサーバはオンラインにて、ストレージサーバはローリング方式にて更新されるため、月次セキュリティメンテナンスによるデータベースシステムへの可用性に影響はありません。

ただし月次セキュリティメンテナンス中は以下の通りOCIコンソール上で制限される操作があります。

制限操作については以下ドキュメントを参考にした内容となります。

Exadata Cloud: Frequently Asked Questions about SMR – Monthly Security Maintenance

 (ドキュメントID 2951685.1)

月次セキュリティメンテナンスのスケジュール通知、変更、注意点について

スケジュールの通知

月次セキュリティ更新プログラムがある場合、毎月15日までにOracleからリリースされます。

メンテナンス開始前に事前通知があり、スケジュールされた日が通知より確認できます。

この通知はOCIコンソール上の「お知らせ」上から確認ができます。

スケジュールされているメンテナンスについては、Exadataインフラストラクチャの詳細画面の「メンテナンス」の項目内から確認できます。

通知の受け取りは、お知らせのサブスクリプションを作成することでメールでの受信ができますので、あらかじめ準備しておくことをお勧めします。

もしセキュリティ脆弱性や製品問題が該当月になければ、メンテナンスはなく、通知もされません。

スケジュールの変更

月次セキュリティメンテナンスの更新サイクルは2パターンあります。

1. 各月18日~翌月9日
2. 各月21日~翌月12日

通知時点でのスケジュール日について、更新サイクル期間の各月18~21日から翌月9~12日の間でスケジュールされます。

具体事例を挙げますと、2/14に通知があった場合は3/3にスケジュールがされておりました。

特にスケジュール変更がなければはじめにスケジュールされた日で月次セキュリティメンテナンスが実施されます。

スケジュールの変更可能期間については、スケジュールされた日から更新サイクルごとの最終日までの間で変更が可能です。

具体事例を下図を用いて挙げますと、2/14の通知のあった日から3/12 23:30(UTC)まで変更可能です。

月次セキュリティメンテナンスのスケジュール変更は、Exadataインフラストラクチャの詳細画面のメンテナンス項目から「表示」をクリックし、メンテナンス画面より「メンテナンス実行の編集」をクリックすることで遷移する「メンテナンスの編集」画面から変更が可能です。

なお基本的に月次セキュリティメンテナンスのスキップはできません。

注意点(四半期メンテナンスとのスケジュール)

月次とは別のインフラストラクチャ層へのメンテナンスである四半期メンテナンスが、月次スケジュールの24時間以内にスケジュールされている場合、月次セキュリティメンテナンスはスケジュール通りには実行されません。

スケジュールされた月次セキュリティメンテナンスは待機状態となり、四半期メンテナンスがまず実行されたのちに、月次更新が適用される動きとなります。

月次と四半期メンテナンスが同時刻にスケジュールされている場合は、四半期メンテナンスの完了直後に月次更新が実行されます。

本稿【参照情報】で記載している公式ドキュメント上では四半期メンテナンスと月次セキュリティメンテナンスを同じ時間にスケジュールすることをお薦めしておりますが、同時刻でスケジュールした場合、四半期メンテナンスが正常に完了せず長時間要し、それに影響され月次セキュリティメンテナンスが開始できない状況がありました。

四半期メンテナンスと併せて実施するか分けて実施するかどうかは、運用環境の状況に応じて検討いただければと存じます。

月次セキュリティメンテナンス実施時の確認項目について

確認項目

月次セキュリティメンテナンス実行に関して確認する箇所については主に2か所あります。

メンテナンス開始後、Exadataインフラストラクチャの詳細画面の「作業リクエスト」より、

実施状況が確認できます。

「操作」列の対象をクリックすることで、より詳細な状況を確認できます。

またExadataインフラストラクチャの詳細画面の「メンテナンス」の項目内の「表示」から、

「メンテナンス履歴」に遷移することで、四半期メンテナンス含むこれまで実行されたインフラストラクチャ側のメンテナンス結果が確認できます。

月次セキュリティメンテナンスにおける通常時以外の対応

月次セキュリティメンテナンス失敗時

月次セキュリティメンテナンスが失敗したときはOracleクラウドオペレーション部門からの通知が障害発生から30分以内にあります。

失敗原因が特定された場合は、Oracleクラウドオペレーション部門より更新の再試行が実行されます。もし問題が解決できない場合は、メンテナンスがスキップされ、次の月次セキュリティメンテナンスにて実行される旨の通知があります。

月次セキュリティメンテナンスのスキップ

基本的には月次セキュリティメンテナンスのスキップはできませんが、何らかの理由によりスキップとしたい場合は、My Oracle Support にてサービスリクエスト(SR)を作成することで申請が行えます。

この申請の承認プロセスには３～５営業日かかりますので、それまでに月次セキュリティメンテナンスが実施されないようスケジュールの変更をしておき、スキップ方針となり次第迅速に申請をすることをお勧めします。

スキップされたセキュリティパッチは、次の月次セキュリティメンテナンスにマージされます。

なおスキップではなく、決められた期間以上の延期を行うことについては、サポートへ申請しても行うことができません。

【参照情報】

クラウド・インフラストラクチャのメンテナンス更新 (oraclecloud.com)