SAP S/4HANA Cloud Private Editionでは、システムが稼働しているOSへ定期的にOSパッチを適用し、OSレベルのセキュリティを維持することを推奨しております。
OSパッチ適用時にご利用いただくService Request（以下、SR）テンプレートは、次の2種類でございます。なお、現時点では下記のSRテンプレートはPacemakerをご利用のシステムに対応しておりません。該当するシステムにつきましては、Assisted Service Requestをご利用いただきますようお願いいたします。
- Apply latest Security Patch to OS (Linux, Windows)
- Apply Other Security Patch to OS (Linux)
本記事では、未適用のOSパッチを確認する方法と、SRによるOSパッチ適用の依頼手順(Pacemaker構成のシステムを除く)についてご説明いたします。
未適用のOSパッチの確認
SAP for Meにログイン後、”Services & Support” -> ”Private Cloud Workspace” を開き、”Risk Management”の”Systems with Missing Patches”をクリックいたします。
Operating Systemタブでは、未適用のOSパッチが存在するSIDが以下のように表示されます。
また、該当SIDの未適用OSパッチ一覧を以下のように確認できます。
ここで重要となるのが”Requires Downtime”列の値でございます。
- Yes: お客様にてSRを起票いただき、該当OSパッチを適用する必要がございます。
- No（patched automatically）: ダウンタイムなしでオンライン適用が可能なOSパッチは月次で自動適用されるため、お客様側での対応は不要でございます。
該当OSパッチのリリースから約3ヶ月以内に適用することが、現時点でのRISEとしての推奨でございます。OSパッチの適用はダウンタイムを伴うSR依頼となりますので、あらかじめOSパッチの適用方針をご検討いただき、定期的に適用いただくことをおすすめいたします。
OSパッチ適用の依頼
RISE上のシステムは基本的に開発／検証／本番の構成となっており、Landscape全体でOSパッチレベルの一貫性を維持することを推奨いたします。
以下では、S/4HANAシステムの開発／検証／本番環境を例にご説明いたします。適用の流れは次のとおりでございます。
- 開発環境のAPサーバとSAP HANAサーバに最新のOSパッチを適用いたします。
- 検証／本番環境は、開発環境を参照システムとしてOSパッチを適用いたします。これは、Landscape全体でOSパッチレベルを一致させるためでございます。
1. 最新のOSパッチ適用（開発環境）
OSに最新パッチを適用する際のSRテンプレートは、以下のとおりでございます。
SRテンプレート: Apply latest Security Patch to OS (Linux, Windows)
該当SRテンプレートの免責事項に記載されておりますとおり、SRの作成時にはHANAデータベースのSIDを選択いただけますようお願いいたします。
HANAデータベース上で稼働するシステムの場合、本サービスリクエストの作成時にHANAデータベースシステムのSIDを選択してください。この選択により、関連するすべてのアプリケーションサーバーおよびデータベースサーバーへのパッチ適用が確実に行われます。この場合、アプリケーションシステムのSIDを使用して追加のサービスリクエストを作成する必要はありません。
以下は、開発環境のHANAデータベースのSIDを選択してからSRを作成する例でございます。
主なパラメータは次のとおりでございます。
- Creating with Advance Scheduling: NO（SAP for Meにて未適用のOSセキュリティパッチが存在するため）
- Set system message (for ABAP systems): ABAPシステムにおいて、メンテナンス期間中に表示するシステムメッセージを設定するかどうかを指定する項目でございます。
なお、Creating with Advance Schedulingパラメータは、SAP for Me上で未適用OSパッチの有無をご確認いただいたうえで選択いただけますようお願いいたします。
本作業に必要なダウンタイムは、SRサービス説明に以下のとおり記載されておりますとおり、”スケジュール実行”ステップにてご確認いただけますようお願いいたします。
記載されている「推定標準所要時間」は標準システムにのみ適用されます。実際のサービス実行時間はシステム構成によって異なる場合があり、「スケジュール実行（ステップ3）」画面にて確定されます。
2. 開発環境を参照システムとしてOSパッチを適用(検証/本番環境)
参照システムを指定してOSパッチを適用する際のSRテンプレートは、以下のとおりでございます。
SRテンプレート: Apply Other Security Patch to OS (Linux)
検証/本番環境のHANAデータベースのSIDを選択したうえで、開発環境のHANAデータベースを参照システムとして指定し、OSセキュリティパッチを適用いたします。
指定するパラメータは基本的にSRテンプレート”Apply latest Security Patch to OS (Linux, Windows)”と同様でございますが、”Reference System Number”は必須項目であり、開発環境のHANAデータベースのSIDを指定いたします。
まとめ
本記事では、RISE上で稼働するOSにセキュリティパッチを適用する方法についてご説明いたしました。要点は以下のとおりでございます。
- SAP for Meの”Systems with Missing Patches”で、未適用のOSパッチと”Requires Downtime”の値を定期的にご確認ください。
- “Requires Downtime”が”Yes”のパッチは、お客様にてSRを起票いただき適用する必要がございます。
- 開発環境に最新パッチを適用し(Apply latest Security Patch to OS)、検証／本番環境は開発環境を参照システムとして適用する(Apply Other Security Patch to OS)ことで、Landscape全体のOSパッチレベルを一致させることができます。
OSパッチの適用はOSレベルのセキュリティ維持に不可欠でございます。リリースから約3ヶ月以内の適用を目安に、計画的かつ定期的なパッチ適用をご検討いただけますようお願いいたします。
#abap