OCI Certificates監視

コンパートメントや環境をまたいで証明書を管理することは困難な場合があります。失効や削除のイベントを見逃すと、アプリケーションのダウンタイムや信頼チェーンの障害につながる可能性があります。Oracle Cloud Infrastructure（OCI）証明書は、SSL/TLS証明書と認証局（CA）を発行、管理、更新するために使用されるマネージドサービスです。証明書のライフサイクルオペレーションを処理することで、サービス間の通信をセキュアにするのに役立ちます。

Site24x7はOCI証明書と連携し、証明書のライフサイクルとCAの正常性を単一のコンソールから可視化します。このOCI CAとの連携では、以下のチャイルド監視も提供します：

• 証明書：CAによって発行された個々の証明書を監視します。これには、証明書の経過時間、バージョンのライフサイクル、有効期限のタイムラインが含まれます。

この設定により、CAレベルの正常性と個々の証明書のステータスを1か所で監視でき、リスクを早期に検出してサービスの中断を回避するのに役立ちます。

Site24x7のOCI証明書連携のメリット

Site24x7のOCI証明書連携は、以下のメリットを提供します：

• プロアクティブな有効期限の監視：証明書やCAのバージョンが失効する前にアラートを受け取ります。
• 完全な信頼チェーンの可視性：CAと証明書の両方を1か所で監視します。
• 一元的な監視：コンパートメントやリージョンをまたいで証明書を追跡します。
• ライフサイクルの追跡：経過時間、有効期間、削除までのタイムラインを監視します。
• 問題の迅速な検出：リスクを早期に特定し、影響が出る前に対策を講じます。

ユースケース

ある企業が、プライベートCAによって発行されたSSL/TLS証明書で保護されたWebポータルやAPIなど、複数の顧客向けアプリケーションをOCI上で実行しているとします。各アプリケーションは、セキュアな接続を確立するために有効な証明書に依存しています。証明書が失効すると、ユーザーにセキュリティ警告が表示されたり、サービスにアクセスできなくなったりする可能性があります。CA自体が失効または削除されると、そのCAの下で発行されたすべての証明書が無効になり、より広範な障害を引き起こします。

Site24x7のOCI証明書連携により、運用チームはCAと発行されたすべての証明書を1か所で監視します。証明書の有効期限が近づいたとき（例：30日前）にアラートを受け取り、ユーザーに影響が出る前に更新できます。同時に、チームはCAの有効性を追跡して信頼チェーンが維持されていることを確認します。これにより、チームは予期しないダウンタイムを回避し、セキュアな通信を維持し、内部のセキュリティポリシーへの準拠を保つことができます。

設定

OCI Certificates監視を開始するには、次の設定手順を完了してください：

• Site24x7は、Site24x7のテナンシーユーザーを使用してリソースを監視するために、クロステナンシアクセスを使用します。Site24x7アカウントにログインし、セキュリティに影響を与えることなくSite24x7がリソースを表示できるように、特定のポリシーを作成します。
• OCI監視連携ページで、ディスカバリーするサービスのリストからOCI証明書を選択します。

パーミッション

Site24x7がOCI証明書を監視するために、次のパーミッションを付与してください：

• read certificates
• read certificate-authorities

ポーリング間隔

Site24x7は、OCI Certificates監視からメトリックを収集するために、設定されたポーリング間隔（1分に1回から1日に1回まで）に従ってOCIのサービスレベルAPIに問い合わせます。

対応メトリック

OCI Certificate Authority（OCI認証局）監視でサポートされているメトリックは以下の通りです。

しきい値設定

OCI CAおよびCertificates監視のしきい値を設定する方法は以下の通りです。

1. Site24x7アカウントにログインし、［管理］→［設定プロファイル］→［しきい値と可用性］に移動します。
2. ［しきい値プロファイルの追加］をクリックします。
3. 監視タイプのドロップダウンメニューから該当する監視タイプを選択します。該当する監視タイプは認証局と証明書です。サポートされているメトリックがしきい値設定セクションに表示されます。前述のすべてのメトリックにしきい値を設定できます。
4. ［保存］をクリックします。

ステータス伝播

Site24x7のOCI証明書連携はステータス伝播をサポートしています。これにより、証明書レベルの問題を認証局監視経由でルーティングすることで、アラート管理を支援します。

ステータス伝播が有効な場合：

• 個々の証明書などのチャイルド監視のアラートは、デフォルトで無効になっています。
• Certificates監視からのステータス変更アラートは、しきい値の編集ページでアラートをスキップをいいえに設定しない限り、抑制されます。
• 各証明書から複数のアラートを受け取る代わりに、認証局監視から単一のアラートを受け取ります。これにより、アラートノイズが減少し、信頼チェーンレベルでの問題追跡が容易になります。

たとえば、CAによって発行された証明書の有効期限が近づいている、または問題がある場合、各証明書ごとに個別のアラートをトリガーする代わりに、認証局監視がそのCA内に問題があることを示す単一のアラートを発行します。

監視グループを使用したOCI証明書の整理

監視グループは、OCI環境の構成に基づいてCAおよびCertificates監視を整理するのに役立ちます。アプリケーション、本番やステージングなどの環境、またはビジネスユニットごとに監視をグループ化できます。これは、複数の証明書が単一のサービスをサポートしている場合や、CAが異なるアプリケーションにまたがって証明書を発行している場合に便利です。

この連携により、監視グループは証明書の正常性と依存関係を統合的に表示します。たとえば、顧客向けアプリケーションに関連するすべての証明書を、それらを発行したCAとともにグループ化できます。これにより、失効間近の証明書やCAがそのアプリケーションに与える影響を理解しやすくなります。また、通知は個々の監視ではなくグループレベルで設定できるため、アラート管理も簡素化されます。

キャパシティプランニングによる証明書の失効と更新の計画

Site24x7のキャパシティプランニングを使用して、証明書とCAのライフサイクルの傾向を時系列で分析できます。証明書は従来の意味でのキャパシティを消費しませんが、その有効期間とローテーションサイクルは、予測可能な時間ベースのリソースのように振る舞います。

この機能をOCI Certificates監視と併用することで、証明書とCAのバージョンがどのくらいの期間有効であるかを追跡し、更新サイクルのパターンを特定できます。これにより、チームは直前のアラートに対応するのではなく、事前に更新を計画できます。たとえば、複数の証明書が同じ期間内に失効するように設定されている場合、運用上の負荷急増や期限切れを避けるために、制御された方法で更新をスケジュールできます。また、環境全体でローテーションポリシーが一貫して遵守されていることを確認することで、コンプライアンスもサポートします。

ライセンス

• 各OCI CAおよびCertificates監視は、ベーシック監視ライセンスを1つ使用します。

OCI証明書データの表示

OCI証明書環境を監視するには、Site24x7アカウントにログインし、クラウド → OCI → 証明書に移動します。

監視データ