宛先 QRadar サイトへの Disconnected Log Collector データのマイグレーション
災害復旧用の QRadar 環境を作成したが、災害復旧用の Disconnected Log Collector を作成していない場合、サーバー証明書には、メインサイトと宛先サイトの両方の情報を含める必要があります。 この情報により、Disconnected Log Collector ログ・ソースがサイト間で適切に転送されるようになります。
始める前に
- Disconnected Log
Collector に使用されるルート証明書を、メイン IBM
QRadar サイトから宛先サイトにコピーします。
- デフォルトの Java™ トラストストアを使用している場合、ルート CA 証明書はメインと宛先の QRadar サイト間で同期化されません。 ルート証明書をメイン・サイトの /etc/pki/ca-trust/source/anchors フォルダーから宛先サイトの同じフォルダーにコピーします。 次に、宛先サイトで update-ca-trust コマンドを実行して、証明書をインポートします。
- 独自のカスタム Java トラストストアを使用している場合、メイン QRadar サイトと宛先サイトの間でトラストストアが同期されません。 Disconnected Log Collector ログ・ソースで使用するトラストストア・ファイルを、宛先サイトの同じフォルダーにコピーします。
- Disconnected Log Collector ログ・ソースに使用するサーバー証明書を、メイン・サイトの /opt/qradar/conf/key_stores フォルダーから宛先サイトの同じフォルダーにコピーします。
ヒント: Disconnected Log
Collector ログ・ソースのサーバー証明書を生成するときに、2 次 QRadar ボックスの IP アドレスを認証要求の SAN に追加できます。
DNS:<ec.example.com>,IP:<Primary IP address>,IP:<Destination IP address>詳しくは、Disconnected Log Collector での証明書ベースの認証のセットアップを参照してください。