QRadar と通信するための OpenStack の構成

OpenStack イベントを収集するには、 QRadarからの接続を許可するように OpenStack デバイスを構成する必要があります。

重要: OpenStack は、多数の異なるディストリビューションを持つオープン・ソース製品であり、さまざまなオペレーティング・システムでセットアップできます。 この手順は、ご使用の環境では異なる場合があります。

手順

  1. OpenStack デバイスにログインします。
  2. /etc/nova/api-paste.ini ファイルを編集します。
  3. ファイルの最後に、以下のテキストを追加します。
    [filter:audit] paste.filter_factory = pycadf.middleware.audit:AuditMiddleware.factory audit_map_file = /etc/nova/api_audit_map.conf
  4. [composite:openstack_compute_api_v2] 設定を確認し、値が以下のサンプルと一致することを確認します。
    [composite:openstack_compute_api_v2] use = call:nova.api.auth:pipeline_factory noauth = faultwrap sizelimit noauth ratelimit osapi_compute_app_v2 keystone = faultwrap sizelimit authtoken keystonecontext ratelimit audit osapi_compute_app_v2 keystone_nolimit = faultwrap sizelimit authtoken keystonecontext audit osapi_compute_app_v2
  5. api_audit_map.conf ファイルを /etc/nova/ ディレクトリーにコピーします。
  6. API サービスを再始動します。

    API サービスを再始動するコマンドは、OpenStack ノードをホストしているオペレーティング・システムによって異なります。 Redhat Enterprise Linux システムでは、このコマンドは service openstack-nova-api restart です。

  7. OpenStack インストール・ディレクトリーの egg-info サブディレクトリーにある entry_points.txt ファイルを開きます。

    PackStack インストールでは、このファイル・パスは次のようになります: /usr/lib/python2.7/site-packages/ceilometer-2014.2-py2.7.egg-info/entry_points.txt.

  8. http ディスパッチャーを [ceilometer.dispatcher] セクションに追加します。
    [ceilometer.dispatcher] file = ceilometer.dispatcher.file:FileDispatcher database = ceilometer.dispatcher.database:DatabaseDispatcher http = ceilometer.dispatcher.http:HttpDispatcher
  9. 提供された http.py スクリプトを Ceilometer インストール・ディレクトリーのディスパッチャー・サブディレクトリーにコピーします。

    正確な場所は、ご使用のオペレーティング・システムおよび OpenStack ディストリビューションによって異なります。 OpenStack の Redhat Enterprise Linux ディストリビューションでは、このディレクトリーは /usr/lib/python2.7/site-packages/ceilometer/dispatcher/ です。

  10. /etc/ceilometer/ceilometer.conf ファイルを編集します。
  11. [default] セクションの下に dispatcher=httpを追加します。
  12. ファイルの下部に、次のセクションを追加します。
    [dispatcher_http] target = http://<QRadar-IP>:<QRadar-Port> cadf_only = True

    QRadar システムでログ・ソースを作成したときに OpenStack 用に構成したポートを使用します。

  13. ceilometer コレクター・サービスと notification サービスを再始動します。
    ceilometer コレクター・サービスと notification サービスを再始動するコマンドは、OpenStack デバイスをホストしているオペレーティング・システムによって異なります。 Redhat Enterprise Linux オペレーティング・システムを使用するデバイスでは、以下のコマンドを使用します。
    service openstack-ceilometer-collector restart
    service openstack-ceilometer-notification restart