AIX6.1操作系统部署方案设计和安装配置指南（V1.1） (2).doc

aix 操作系统部署方案和安装配置指南 信息技术管理部 北京数据中心 第 1 页 共 53 页 aix6.1aix6.1 操作系统部署方案设计和安操作系统部署方案设计和安 装装 配置指南配置指南 （v1.1v1.1） 北京数据中心开放系统平台管理部北京数据中心开放系统平台管理部 2010-3 aix 操作系统部署方案和安装配置指南 信息技术管理部 北京数据中心 第 2 页 共 53 页 目目 录录 1前言前言.5 1.1编写目的.5 1.2预期读者.5 2系统部署模式系统部署模式.6 2.1单机模式.6 2.2基于系统技术的 ha 方案；.6 2.2.1active-standby主备方式.7 2.2.2active-active 互备方式.7 2.2.3一备二模式7 2.2.4循环备份模式8 2.2.5concurrent并行处理模式.9 2.3基于软件技术的cluster方案.9 2.4基于网络硬件设备的负载均衡方案.9 3应用部署建议应用部署建议.10 4系统设计考虑的因素系统设计考虑的因素.11 4.1用户.11 4.2相关命名.11 4.3存储/本地盘容量限制11 4.4系统网络.12 4.5参数设置.12 4.6软件安装.12 4.7空间规划.13 4.8安全加固.13 4.9时钟同步.14 5命名规范命名规范.15 5.1资源分配原则.15 5.1.1设备分档15 5.1.2资源调整15 5.2机器及机柜的编号规则.15 5.2.1机柜的命名和编号规则15 5.3分区使用规范.16 5.3.1分区的部署原则16 5.3.2分区资源的分配原则16 5.4主机命名原则.18 5.5用户及用户组命名.19 5.5.1目标19 5.5.2指导方针19 aix 操作系统部署方案和安装配置指南 信息技术管理部 北京数据中心 第 3 页 共 53 页 5.5.3用户组20 5.5.4用户21 5.5.5用户和组id的分配情况22 5.6应用 vg、lv 和文件系统23 5.6.1应用vg23 5.6.2应用lv的命名.24 5.6.3lv条带化.25 5.6.4应用文件系统的使用规范37 5.6.5patrol监控使用的文件系统38 5.7软件安装路径.25 5.7.1数据库25 5.7.2中间件25 5.7.3应用系统25 5.8hacmp命名26 5.8.1命名规则26 5.8.2配置举例26 6aix 设计规范设计规范.28 6.1操作系统的内核.28 6.2软件包安装规范.28 6.2.1aix系统需要安装的软件包.28 6.2.2字符集安装要求29 6.3系统补丁的安装规范.29 6.3.1操作系统29 6.3.2adapter 微码30 6.4操作系统参数的设置.30 6.4.1基本操作参数系统环境30 6.4.2vmm参数31 6.4.3io参数.32 6.4.4网络参数33 6.4.5security参数34 6.4.6hacmp相关参数34 6.5系统主要文件系统的使用方法.35 6.5.1/tmp .35 6.5.2/var36 6.5.3/usr 36 6.5.4/ .36 6.5.5/home.36 6.5.6aix文件系统建议值.37 6.6系统转储空间和交换区的设置.38 6.6.1dump设置38 6.6.2pagingspace设置.38 6.7用户权限设置.39 6.7.1用户文件权限规范39 6.7.2用户资源限制39 aix 操作系统部署方案和安装配置指南 信息技术管理部 北京数据中心 第 4 页 共 53 页 6.8口令使用规范.39 6.8.1口令设置规范39 6.8.2口令保存规范40 6.8.3用户口令限制40 6.8.4root用户口令使用规范.41 6.9系统安全加固.41 6.9.1系统安全加固的原则41 6.9.2aix系统安全加固.41 6.9.3 用户path搜索路径.41 6.10系统网络设置规范.46 6.10.1ip地址申请46 6.10.2网卡速率的设置49 6.10.3网卡绑定的设置49 6.10.4系统静态路由的设置49 6.10.5网络端口的使用50 6.11系统监控.50 6.12系统备份的相关规定.51 6.13nfs 的使用 51 aix 操作系统部署方案和安装配置指南 信息技术管理部 北京数据中心 第 5 页 共 53 页 1前言前言 1.1 编写目的编写目的 为总结我中心开放系统建设的成果，加强开放系统平台建设工作的规范化 管理，我们梳理了开放系统平台基础设施设计的相关文档，并进行了深化、细 化，力求结合实际的设计、实施工作，对设计、实施起到规范、指导作用。 本指南主要从一个设计者的角度进行阐述，相关章节也按此思路编写。作 为一个设计者，首先要了解产品可实现的部署模式，如何选择部署模式，其次 要考虑设计涉及到的因素，有针对性地做好 ibm 操作系统的设计等； 在界线的划分上，基础产品只涉及本产品的设计，上层应用产品对基础产 品的需求放在应用产品中，例如，oracle 部署对 aix 的要求，放在 oracle 设计指导中。 在编写过程中，特别关注可操作性，不仅仅是要求，而是提出建议，尽量 覆盖设计工作中涉及的工作要点。本指南中参数建议值是对系统设计时的指导， 是合理的经验值，但由于应用系统的复杂性，每个系统有自己的特点，建议按 建议值进行系统的初始配置，在压力测试和系统上线后根据实际需要做相应的 调整。 1.2 预期读者预期读者 项目基础设施可行性研究、设计和实施人员，项目组应用系统设计人员， 相关运行维护技术人员。 aix 操作系统部署方案和安装配置指南 信息技术管理部 北京数据中心 第 6 页 共 53 页 2系统部署模式系统部署模式 对于业务中断时间要求高的系统和服务，应该提供高可用性保护。对于业 务中断时间要求不高的应用系统，可以考虑采用单机或冷备机方式进行部署。 针对网络的不同层次，我们提供了不同的高可用性保护方式。包括： 1、基于系统技术的 ha 方案； 2、基于软件技术的 cluster 方案； 3、基于网络硬件设备的负载均衡方案； 4、基于数据库技术的并行处理模式 2.1 单机模式单机模式 对于业务中断恢复时间要求比较低的非关键系统，可以采用单机的部署模 式，单机部署具有以下特点。 优点优点 1、 硬件成本低。单节点，硬件投入较低，满足非重要系统的需求。 2、 安装配置简单，管理维护成本低。 缺点缺点 1、 可用性不高，由于是单台服务器，没有备机，故障恢复时间较长。 2、 扩展性差。 2.2 基于系统技术的基于系统技术的 ha 方案；方案； ha 方案方案是服务器生产厂商或第三方提供的，基于硬件设备的系统级软件。 它可以提供系统失效接管的自动解决方案，在系统失效后，自动将应用相关资 源交由备份机接管，并可以自动恢复业务的运行。应用相关资源包括：网络地 址，应用代码、存储和业务数据，进程及相关内存区，相关服务。ha 解决方 案的缺点是：技术复杂，需要一整套硬件设施来提供失效接管的冗余结构，包 括服务器、网络链路、存储链路、存储空间等，其开销是比较大的，另外，维 aix 操作系统部署方案和安装配置指南 信息技术管理部 北京数据中心 第 7 页 共 53 页 护成本也相应提高；ha 方案的优点是：业务恢复的时间短，自动化程度高， 不需要人工干预。此方案适合部署了数据库软件的服务器使用，对于单数据库、 多数据库、并行数据库都适用。部署方式主要有： 2.2.1 active-standby 主备方式主备方式 主备方式主备方式 一台服务器为生产机，另一台服务器为备份机，备机平时不提供 任何服务。这种方式适用于服务器在故障切换后，要求备机处理能力不能下降 的重要系统。对于采用 ha 方式的数据库软件代码、中间件代码、应用代码要求 部署在本地，数据部分部署在共享存储上。 2.2.2 active-active 互备方式互备方式 一般由于服务器数量限制，但又有高可用保护需求的系统，如只有两台服 务器的系统一台为 ap，一台为 db 服务器。ap 与 db 服务器配置成互为备份， ap 服务器平时提供应用服务，db 平时提供数据库服务，当任一台服务器故障 时，其上的服务会切换到另一台健康的服务器上，继续对外提供服务。此时由 于 ap、db 同时运行在一台服务器上，服务器的处理能力会明显下降。这种方 式适用于服务器负载相对空闲的系统。部署时还要考虑切换后两个服务使用一 台服务器的 cpu、内存资源，由于资源的减少，当 db 服务切换到 ap 服务器 上，启动数据库时，需要减小 db 的 sga 区分配等操作（oracle） ，以满足数据 库对资源的需求。 2.2.3 一备二模式一备二模式 一备二模式类似于主备模式，只是备份服务器同时承担两台生产机的备份 工作，优点是可以节省一台备份服务器。如 a 为生产主机，b 为生产主机，c 为备份机，c 机同时备份 a 机及 b 机。考虑数据存储的安全，配置一备二的系 统，a、b 两台生产机的存储设备不需共享，即不识别对方的存储设备。 aix 操作系统部署方案和安装配置指南 信息技术管理部 北京数据中心 第 8 页 共 53 页 2.2.4 循环备份模式循环备份模式 a-b-c 均为生产机，c 机备份 a 机，c 机备份 b 机，a 机又备份 c 机。这 种方式适用于服务器资源紧张的非关键应用，又有高可用保护要求的系统，缺 点是只有一台生产服务器发生故障时备机可以接管，当两台服务器同时发生故 障时备机无法正常接管。 注意：对于采用一备二或者循环备份方式的系统需要考虑两个因素，一是实施 要求，集群中的所有服务器需要部署在相同网段；二是维护要求，由于所有服 务器均在同一个集群 cluster 中，如果其中的一台主机进行配置变更需要 ha 同步 配置时，整个集群中的服务器都需要停下来同步 ha，因此最好是同一套应用系 统，且可以同时启停的系统采用一备多的方式。 aix 操作系统部署方案和安装配置指南 信息技术管理部 北京数据中心 第 9 页 共 53 页 2.2.5 concurrent 并行处理模式并行处理模式 适用于 oracle 数据库的 rac 方式等，详细内容见 oracle 设计规范部分。 2.3 基于软件技术的基于软件技术的 cluster 方案方案 基于软件技术的基于软件技术的 cluster 方案方案，是利用中间件等应用平台软件本身具有的集 群功能，将应用部署到多台设备上，在某台设备出现故障时，由其它正常的设 备将出现故障的设备上的客户访问请求接管过来，继续提供服务。 （如 tuxedo、weblogic、websphere 的集群技术）cluster 方案的缺点是：需要购买额 外的 license；配置比较复杂，增加了管理难度；此方案的优点是：不需要购置 额外的网络链路、存储链路，也不需要额外的存储空间，业务恢复的时间比较 短，只有连接故障服务器的客户需要重新登录；此方案适合那些部署了带有集 群功能软件的设备使用，主要适合应用层的中间件服务器使用。 2.4 基于网络硬件设备的负载均衡方案基于网络硬件设备的负载均衡方案 基于网络硬件设备的负载均衡方案基于网络硬件设备的负载均衡方案，是利用网络负载均衡设备，根据一定 的负载均衡算法，将客户端访问请求分配到若干台服务器上，其中任何一台服 务器出现故障都不影响业务的正常运行。这种解决方案的优点是：服务器上不 需要配置任何冗余部件，也不需要进行任何额外的软件配置，控制简单，服务 器扩展平滑简单。缺点是：只能对少数类型的服务提供负载均衡功能。此方案 尤其适合 web 服务。 aix 操作系统部署方案和安装配置指南 信息技术管理部 北京数据中心 第 10 页 共 53 页 3应用部署建议应用部署建议 在三层架构中，居于中心位置的是业务数据。相对于业务代码和 web 服务， 业务数据的规模比较大，业务数据一旦丢失，整个业务都将陷于停顿，并且难 以恢复。因此，应该重点保护业务数据。应用逻辑是重要性相对低一些的部分， 恢复相对容易，所以在三层架构中是次要保护对象。重要性最低的是数据展现 层，该层没有自己独立的数据和业务逻辑，完全被动地展现经业务逻辑层过滤 后的业务数据，因此，它的恢复是最容易的，不需要花费太大的力量进行保护。 根据上述分析，结合三层应用架构的特点，我们建议： 1、为数据库服务器提供最高级别的可用性保护，也就是基于系统技术的 ha 保护。如果业务明确提出，数据重要程度很低或易于恢复，业务对恢复时 间的要求也不高，也可以不进行 ha 保护。 2、应用层服务器进行基于软件技术的 cluster 保护。因业务逻辑相对容易 恢复，所以，我们建议选用 cluster 解决方案。 3、针对最简单的 web 层服务器，我们建议用网络负载均衡设备实现服务 的高可用性。 aix 操作系统部署方案和安装配置指南 信息技术管理部 北京数据中心 第 11 页 共 53 页 4系统设计考虑的因素系统设计考虑的因素 4.1 用户用户 用户分数据库用户、中间件用户、应用用户、应用监控用户、应用维护用 户等，不同的用户划分不同的权限及组，避免同一用户拥有不同角色的权限。 原则上： 1、 应用用户不能属于数据库组也不能属于中间件组 2、 用户的 rwx 权限限制，应用监控用户不能对应用程序及配置文件有写和 执行权限 3、 应用用户不能有启停数据库的权限 4、 规范用户口令设置，登陆权限 5、 合理设置用户资源限制 limits 4.2 相关命名相关命名 统一命名规则，需要统一的命名的内容包括：机柜、主机、分区、操作系 统、用户、用户组、id、文件系统、卷组、逻辑卷、目录、集群 ha 等。 4.3 存储存储/本地盘容量限制本地盘容量限制 单个分区本地磁盘一般配置为 2 到 4 块 146gb 的 scsi 硬盘，用于 rootvg、软件代码安装。 外置存储： 1、 数据库服务器、数据加工处理类服务器、需要存储空间很大的系统及有 共享需求的系统可以连接外接存储设备。 2、 数据库一般使用划分为 raid10 的磁盘，文件系统一般使用划分为 raid5 的磁盘。 3、 为了合理利用存储及交换机资源，应用服务器、web 服务器、windows 服务器一般不连接存储设备。 aix 操作系统部署方案和安装配置指南 信息技术管理部 北京数据中心 第 12 页 共 53 页 4.4 系统网络系统网络 系统网络设置： 1、 对于没有 ha 保护的服务器系统，为了提高可用性，网卡配置为双网卡 绑定工作，模式为主备模式，两块网卡分别连接主备两台交换机。 2、 网卡的速率设置需要与网络部门共同确定，需要与交换机的端口设置保 持一致，要求采用自适应模式（包括光口和电口） 。 3、 网络参数，根据安装的软件需求，进行合理的设置，以满足应用部署需 求。 4.5 参数设置参数设置 服务器参数设置首先满足其上部署的数据库或中间件对操作系统的参数设 置要求，再根据 ibm 的建议值进行设置。参数设置包括 1、 pagingspace 2、 vmm 3、 网络 4、 io 5、 操作系统位数 6、 异步 io 7、 时区（使用东八区） 8、 语言环境（中文环境） 4.6 软件安装软件安装 数据库、中间件、应用等软件的代码安装在本地磁盘的文件系统上，安装 目录统一命名，并建立相应文件系统，不能使用系统的文件系统作为软件安装 目录。 例： aix 操作系统部署方案和安装配置指南 信息技术管理部 北京数据中心 第 13 页 共 53 页 数据库软件安装在 /home/db/informix 中间件安装在/home/mw/weblogic 应用软件/home/ap/ocrm 4.7 空间规划空间规划 1、 系统级文件系统大小设置 2、 非系统级文件系统的空间大小根据实际需要进行设置，如 /home/db/oracle 10gb /home/db/informix 5gb /home/mw/weblogic 2gb 3、 存储空间一般按满足业务数据半年到一年的增长需求进行分配 4.8 安全加固安全加固 ibm aix 主机操作系统安全加固技术主要是通过对操作系统本身模块和组 件的增加，修改或裁剪等技术，屏蔽和消除操作系统自身缺陷和安全漏洞，确 保操作系统安全稳定运行，满足业务系统稳定、安全运行的要求。遵循以下原 则： 1、组件服务最少 最小的服务和组件。 区分服务器的用途和角色，禁止安装不必要的服务和组件。 服务内部组件也应采用上述原则进行裁减。 2、最小账户 进行严格的账户管理，实施严格的账户策略。 严格控制增加、修改和删除系统中的账户、群组。 删除所有系统上不使用的账户和数据中心组。 3、最小权限 尽可能的降低系统服务、群组和账户的权限。 对操作系统提供权限的授予进行严格限制。 禁止不必要的账户访问不需要的资源。 aix 操作系统部署方案和安装配置指南 信息技术管理部 北京数据中心 第 14 页 共 53 页 4、专用原则 尽量避免利用一台主机实现多种服务的角色功能。 分区专用，隔离系统、应用和数据所在的分区。 安装 openssh 软件，禁用 telnet 服务。 定期检查 ibm 发布的 security 补丁建议，补丁链接地址： /webapp/set2/subscriptions/ijhifoeblist?mode=1 export tmout 增强安全性 3histexpirehistexpire026密码可重新使用前的星期数。 4minalphaminalpha 02密码中最少有几个字母（无 论大小写） 5minotherminother 02密码中最少有几个非字母字 符（不区分数字和符号） 6minlenminlen 08密码最小位数 7maxrepeatsmaxrepeats83在密码中可重复字符的最大数目 6.4.6 hacmp 相关参数相关参数 序号序号参数参数参数名称参数名称 defaultdefault 建议值建议值调整原则及注释调整原则及注释 maxpout8193不修改1i/o pacing minpout4096 通过 smitty chgsys 调整高低水印, 每当系统内有其它应用在做大量 的 i/o 操作时，用户可能会碰到如 aix 操作系统部署方案和安装配置指南 信息技术管理部 北京数据中心 第 35 页 共 53 页 交互性能受到严重影响等问题. 2 syncsync 进程同步频 率 60 秒10可能在繁重的 i/o 传输期间增加触 发 deadman switch 的可能性。 3tty 流控 制 flow controlsoftware flow control (xon) software flow control (xon) somehow the hardware flow (rts) control for tty was recommended however it could result in potential tty overrun error in hacmp/rsct environment. 4tty 波特 率 1)ha 配置中的 change network custom module 2)创建 tty 时指定 bate rate=9600 空(38400)9600hacmp 配置中的 tty 波特率默认是 空，空=38400，与 tty 物理设备的 9600 设置保持一致。 5failure detection rate of a network module normalslow减慢 ha 心跳线的诊断频率 emc 磁 盘自定 义的解 锁脚本 在 hacmp 中设 置 emcpowerreset 以及 break reserves in parallel =true 没有增加提高hacmp对磁盘的启动 和切换速度及异机情况的磁 盘解锁 6 hds 磁 盘自定 义的解 锁脚本 add a custom cluster event； add custom disk methods 没有增加提高 hacmp 对磁盘的启动 和切换速度及异机情况的磁 盘解锁 6.5 系统主要文件系统的使用方法系统主要文件系统的使用方法 在 unix 系统中，有五个主要的系统文件系统，它们是 /、/usr、/var、/tmp 和/home。 6.5.1/tmp /tmp 文件系统只应包含临时文件。分配给/tmp 的磁盘空间不应太大，应该 在需要的时候再增加。应用系统运行时产生的临时文件不放在/tmp 目录下，存 aix 操作系统部署方案和安装配置指南 信息技术管理部 北京数据中心 第 36 页 共 53 页 放到应用文件系统指定的目录下。运行维护时产生的临时备份文件和日常维护 需要存放的巡检信息、监控信息等文件存放到/home/backupfile 下， /home/backupfile 文件系统的创建要求见 6.5.6。 6.5.2/var /var 应该是一个单独的文件系统，并且应该允许其随需求而增长。如果将 /var 建立在其它文件系统中，如 / 根文件系统中，当某个应用发生严重问题 或者出现硬件故障时，系统将会产生大量的日志，会造成 / 文件系统很快就被 填满，不能继续生成日志，而 / 文件系统被填满了服务将会中断，由此会产生 严重的后果。 建立/var 文件系统时，需要对所需空间的大小进行估算。建议/var 文件系 统大小应该从 3gb 开始向上增长。对于需要大量日志的 web 或邮件服务器，可 能需要分配更大的空间。 6.5.3/usr 考虑到一些系统产品或是应用产品可能需要安装在/usr 下，因此可以初始 给/usr 文件系统一个较大的值，当这个值不够用时，在适当的去扩此文件系统。 6.5.4 / 尽管将 / 根文件系统作为存放所有内容的文件系统，并使其足够大，以处 理更多的任务，这似乎很方便。但是，将 / 根文件系统保持较小会更合适，因 为 / 根文件系统的主要存放/etc、/dev、内核，以及一些静态链接的二进制文 件，空间需求较少。 与/usr 不同的是，/ 根文件系统必须设置为可读 / 可写权限，因为它是放置 系统配置信息、设备文件系统以及/proc 文件系统的地方。 考虑到内置硬盘的实际情况，我们考虑在实施过程中适当的将根文件体系统扩 大一些。 aix 操作系统部署方案和安装配置指南 信息技术管理部 北京数据中心 第 37 页 共 53 页 6.5.5/home 根据服务器的用途，/home 可以被认为是操作系统的一部分或者是应用程 序的一部分。由于一些软件产品的安装，对/home 文件有较大的空间要求，因 此实施过程中需对 /home 文件系统进行考虑。 6.5.6 建立建立/home/backupfile 文件系统用于存放临时文件文件系统用于存放临时文件 在 rootvg 中创建用于存放临时备份文件，或日常维护需要存放巡检信息、 监控信息等文件的目录，文件系统初始大小 10gb，mount 点 /home/backupfile。 jfs2 日志文件系统 目录权限为 777 均支持大文件 6.5.7 rootvg 中主要文件系统大小建议值中主要文件系统大小建议值 文件系统文件系统值值备注备注 / 大小1gb /tmp 大小3gb /usr 大小4gb /home 大小1gb /var 大小3gb 6.5.8 应用文件系统的使用规范应用文件系统的使用规范 数据库、中间件文件系统 生产环境的数据库及中间件将考虑安装在一个单独的文件系统上，而且文件系 统创建在本地，即需要在对等的两台主机上分别安装数据库和中间件，而对于 共享的信息或是数据库的裸设备，则必须放置在外置存储上。 应用文件系统 应用系统其他的文件系统原则上由各项目组分别提出，除此以外，为各个项目 aix 操作系统部署方案和安装配置指南 信息技术管理部 北京数据中心 第 38 页 共 53 页 组单独建一个文件系统，mount 点在/home/ap，以供各个项目组放置自己的用 户和其他信息。 均为日志文件系统 jfs2 均支持大文件 均基于特定的 lv lv 均基于上述命名格式 6.5.9 patrol 监控使用的文件系统监控使用的文件系统 总行集中监控项目需要在被监控系统上创建单独的文件系统，放置监控软件 及监控数据。 该文件系统大小为 2gb，逻辑卷的名称为 xxxv00l9110，挂接点为 /home/ap/patrol，其中 xxx 指项目名称缩写。 6.6 系统转储空间和交换区的设置系统转储空间和交换区的设置 6.6.1 dump 设置设置 dump 大小为内存大小的一半或用命令 sysdumpdev e（或 /usr/lib/ras/dumpcheck -p）进行估算。dumpdev 功能选项设置应该如下： # # sysdumpdevsysdumpdev -l-l primary /dev/lg_dumplv secondary /dev/sysdumpnull copy directory /var/adm/ras forced copy flag true always allow dump true dump compression on 6.6.2 pagingspace 设置设置 pagingspace 区的配置规则，按照以下原则配置： 1、内存配置在 16g 以下：与内存大小一致； 2、内存配置在 16g 以上，交换区初始大小设置为 16g，以后根据实际使用 aix 操作系统部署方案和安装配置指南 信息技术管理部 北京数据中心 第 39 页 共 53 页 情况进行调整； 交换区 pagingspace 创建在本地磁盘，最好创建几个相同大小的交换区设 备，分布在不同磁盘上，当物理内存不足时，能够提供更好的 io 性能。 6.7 用户权限设置用户权限设置 6.7.1 用户文件权限规范用户文件权限规范 为了保护应用用户的文件安全，制定安全规则如下： 1、文件拥有者对文件拥有全部权限； 2、同组的用户对文件有读和写的权限，没有启动和停止应用的权限； 3、其他用户对文件只有读权限； 系统的用户 umask 设置为 027，应用属主可以根据需要进行进一步的设置。 方式有两种： 1、 创建用户时，把用户的 umask 属性设置为 027； 2、 修改用户的.profile 文件，把 umask 027 命令加入，保存修改后，所 有新登录的用户创建的文件的权限都是 750（目录）或 640（普通文件） 。 6.7.2 用户资源限制用户资源限制 放开数据库用户、关键应用用户的资源使用限制， /etc/security/limits，将以下 limits 设置为 -1 1、 如果应用的 core 文件大于该限制值,所产生的 core 文件有可能不完整。 2、 如果限制 data, rss, stack，stack_hard 的大小，有可能使应用因为 内存资源不足而意外中止。 3、 如果限制 fsize，nofiles ，有可能因为文件大小的受限制或者打开多 于限制之上的文件数量而导致应用失败。 aix 操作系统部署方案和安装配置指南 信息技术管理部 北京数据中心 第 40 页 共 53 页 6.8 口令使用规范口令使用规范 6.8.1 口令设置规范口令设置规范 1、密码必须至少有 8 位。 2、密码必须复杂，至少包括 3 个以下类型的字符： 1)大写英文字母 a, b, c, . z 2)小写英文字母 a, b, c, . z 3)阿拉伯数字 0, 1, 2, . 9 4)非字母数字（“特殊字符” ） ，比如标点符号 3、密码不要包含用户名、电子邮件名称或者全名的任何部分。 4、密码应该定期更换，更换密码的时间间隔最长为 3 个月，有专门人员负责密 码的保管和定期更换。 5、新的密码不能与最近八个密码中的任何一个相同。 6、密码不应该是字典中“常见”的单词或者是一个行话单词。密码不要包含任 何语言的语句。 6.8.2 口令保存规范口令保存规范 各种应用不得将数据库管理员用户，如：informix 的用户名、用户口令不 能设置在应用程序中，写在配置文件中的用户名和口令需要加密存放。应用软 件有需要数据库用户的，视连接需要，例如：查询、写入等功能需要，由数据 库管理员建立相应用户并授权，由应用系统进行配置使用。 root 口令、数据库管理用户（例如 informix 和 oracle 用户）口令、中间 件管理用户（例如：websphere、weblogic、tuxedo 等）将由系统管理部门掌 握，各项目组的应用用户的口令由数据中心掌握，维护用户由项目组掌握。 6.8.3 用户口令限制用户口令限制 aix 系统直接修改用户属性来控制用户口令的设置规则，在 aix 系统上， 可以通过命令修改用户口令限制，也可以直接修改/etc/security/user 文件对 aix 操作系统部署方案和安装配置指南 信息技术管理部 北京数据中心 第 41 页 共 53 页 口令进行限制，如果使用第二种方式，需要修改/etc/security/user 文件的下 列属性值： 属性属性描述描述建议值建议值缺省值缺省值最大值最大值 histexpire在 6 个月（26 周）内不允许重新使用以 前使用过的密码 260 minalpha密码中最少有几个字母（无论大小写）2 minother密码中最少有几个非字母字符（不区分 数字和符号） 2 minlen密码最小位数8 maxrepeats在密码中可重复字符的最大数目。3 6.8.4 root 用户口令使用规范用户口令使用规范 原则上各种应用软件不得使用超级用户进行维护和启停管理，有类似功能 需要的，可以由系统管理员使用 root 建立相应的用户（组） ，由各应用进行使 用。 有些软件需要用 root 用户安装，如 ibm websphere，但安装后 websphere 的启停操作必须改为非 root 用户。 6.9 系统安全加固系统安全加固 6.9.1 系统安全加固的原则系统安全加固的原则 使用系统服务的原则如下： 1、不需要的服务一律关闭； 2、如果需要使用常见的服务，应该避免使用缺省的端口号； 3、如果被使用的服务内部可以对连接的机器和用户进行限制，应该启用限 制机制；（例如 ftp 服务） aix 操作系统部署方案和安装配置指南 信息技术管理部 北京数据中心 第 42 页 共 53 页 6.9.2 aix 系统安全加固系统安全加固 tcpip 服务服务 配置文件：rc.tcpip 服务名状态(启动/关闭/视情况)说明 dhcpcd关闭 autoconf6关闭 ndpd-host关闭 ndpd-router关闭 syslogd打开 nfs视情况nfs 服务器打开，没有使用 nfs 的系统关闭该服务。 lpd关闭 routed关闭 gated关闭 sendmail关闭 portmap打开x-window 使用 inetd打开 named关闭 timed关闭 xntpd打开根据需要打开 rwhod关闭 snmpd打开patrol 监控使用 在 hacmp 环境中，该服务 要打开 dhcpsd关闭 dhcprd关闭 dpid2关闭 hostmibd打开lpar 管理需要 snmpmibd视情况在 hacmp 环境中，该服务 要打开 aix 操作系统部署方案和安装配置指南 信息技术管理部 北京数据中心 第 43 页 共 53 页 aixmibd关闭 mrouted关闭 pxed关闭 binld关闭 muxatmd视情况在 hacmp 环境中，该服务 要打开 inet 服务服务 配置文件 inetd.conf 子服务名状态(启动/关闭/视情况)说明 openssh打开安装见第 2 部分说明 ftp 打开根据需要打开 telnet 关闭已安装 ssh 的关闭 telnet shell 关闭根据需要打开或关闭。远程 登录或远程执行使用的。 kshell 关闭 login 关闭 klogin 关闭 exec 关闭 comsat 关闭 uucp 关闭 bootps关闭 finger 关闭 systat关闭 netstat关闭 tftp关闭 talk 关闭 ntalk 关闭 rquotad关闭 rexd关闭 aix 操作系统部署方案和安装配置指南 信息技术管理部 北京数据中心 第 44 页 共 53 页 rstatd关闭 rusersd关闭 rwalld关闭 sprayd关闭 pcnfsd关闭 echo关闭 discard关闭 chargen关闭 daytime关闭 time关闭 instsrv关闭 imap2关闭 pop3关闭 wsmserveam关闭 dtspc关闭 cmsd关闭 ttdbserver关闭 godm视情况hacmp 打开 其它服务其它服务 配置文件：inittab 服务名状态(启动/关闭/视情况)说明 rcnfs 服务视情况使用 nis 和 nfs 服务时打开 qdaemon关闭 writesrv关闭 登陆超时设置登陆超时设置 2 分钟超时设置 编辑/etc/profile 文件： readonly tmout=120; export tmout aix 操作系统部署方案和安装配置指南 信息技术管理部 北京数据中心 第 45 页 共 53 页 其中 readonly 控制 tmout 不能被用户在命令行任意修改。 不安全的文件不安全的文件 有些文件可能带来安全隐患，以下的文件不应该在系统中存在 文件文件威胁威胁要求要求 /etc/hosts.equiv认证失效此文件不应该在系统中存在 $home/.netrc口令失效此文件不应该在系统中存在 $home/.rhosts or /.rhosts认证失效此文件不应该在系统中存在， 特例：由于 informix 数据库的认证 为操作系统用户，所以 informx 的 复制服务或客户端用户连接 server 时会用到此文件。 如果应用要求上面的文件必须存在，在配置上述文件时一定要同时指定允许访 问的 hostname 和用户名，不能使用 “+” ，也不能只有 hostname，而且此文件 的权限只能是文件属主有读写权限。 不安全的配置举例：$home/.rhosts + 网络中的任何主机的任何用户都被信任 bjdb0141 这台主机上的任何用户都被信任 6.9.3 用户用户 path 搜索路径搜索路径 path 变量中定义的搜索路径，在顺序上，应该先是系统路径然后是用户程序路 径，并且目录中不能包含. 、 :, 或者以:开头和结尾。root 用户不 正确的路径设置，可能会导致 root 用户误执行一个恶意文件。 除了 root 用户的环境变量，以下这些全局初始化文件也不能包含以上符号。 /etc/login /etc/profile /etc/bashrc /etc/environment /etc/security/environ aix 操作系统部署方案和安装配置指南 信息技术管理部 北京数据中心 第 46 页 共 53 页 6.9.4 禁用禁用 telnet，安装，安装 ssh 安装最新版本的 openssh 软件，禁用 telnet 服务。 6.10系统网络设置规范系统网络设置规范 6.10.1ip 地址申请地址申请 确定系统的部署架构后，立即向网络部提交 ip 地址申请表，待 ip 地址分配 后项目组才能与网络部确认端口访问需求。几种部署结构的地址申请表见下面 的 ip 地址申请表举例，供参考： 1、单机方式的地址申请 见表中的报表web acrm_报表wb_sv 2、ha 主备、互备方式的地址申请 见表中的，这两台服务器为双机互备关系。 acrm_etl1_sv acrm_etl1_bt acrm_etl1_stb acrm_etl2_sv acrm_etl2_bt acrm_etl2_stb etl_ap1 etl_ap2 3、oracle 10g rac 方式的地址申请 见表中的，这两台服务器配置为 10g acrm_db1_sv acrm_db1_bt oracle_rac_hb1 acrm_db2_sv acrm_db2_bt oracle_rac_hb2 db1 db2 rac。 4、负载均衡方式的 web 地址申请 见表中的 生产_web1 acrm_wb1_sv 生产_web2 acrm_wb2_sv 生产 web1/web2对 外负载均衡ip acrm_wb_vip 5、中间件集群方式的地址申请 aix 操作系统部署方案和安装配置指南 信息技术管理部 北京数据中心 第 47 页 共 53 页 见表中的，配置为 websphere 的 cluster。 was_ap1 acrm_was1_sv was_ap2 acrm_was2_sv ip 地址申请表示例： aix 操作系统部署方案和安装配置指南 信息技术管理部 北京数据中心 第 48 页 共 53 页 主主机机类类型型 分分布布主主机机网网卡卡描描述述m ma ac c地地址址主主机机地地址址子子网网掩掩码码网网关关备备注注 生生产产 acrm_db1_sv054oracle的vip acrm_db1_bt 154 实地址，双网卡绑定，接主备 交换机 oracle_rac_hb1352 oracle心跳地址，双网卡绑 定，接主备交换机 acrm_db2_sv254oracle的vip acrm_db2_bt 354 实地址，双网卡绑定，接主备 交换机 oracle_rac_hb2452 oracle心跳地址，双网卡绑 定，接主备交换机 acrm_etl1_sv254ha的浮动地址，service ip acrm_etl1_bt354ha的boot地址 acrm_etl1_stb54ha的standby acrm_etl2_sv454ha的浮动地址，service ip acrm_etl2_bt554ha的boot地址 acrm_etl2_stb54ha的standby was_ap1 acrm_was1_sv 054 实地址，双网卡绑定，接主备 交换机 was_ap2 acrm_was2_sv 154 实地址，双网卡绑定，接主备 交换机 生产_web1 acrm_wb1_sv 549 实地址，双网卡绑定，接主备 交换机 生产_web2 acrm_wb2_sv 649 实地址，双网卡绑定，接主备 交换机 生产 web1/web2对 外负载均衡ip acrm_wb_vip4 负载均衡vip地址，2台web服 务器的对外服务地址。 报表webacrm_报表wb_sv754双网卡绑定，接主备交换机 db1 db2 acrm etl_ap1 etl_ap2 aix 操作系统部署方案和安装配置指南 信息技术管理部 北京数据中心 第 49 页 共 53 页 主主机机类类型型 分分布布主主机机网网卡卡描描述述m ma ac c地地址址主主机机地地址址子子网网掩掩码码网网关关备备注注 带带外外管管理理: : db1acrm_db1_mgt54 db2acrm_db2_mgt054 etl_ap1acrm_etl1_mgt154 etl_ap2acrm_etl2_mgt254 was_ap1acrm_was1_mgt354 was_ap2acrm_was2_mgt454 生产_web1acrm_wb1_mgt 354 生产_web2acrm_wb2_mgt 454 报表webacrm