On-premises Content Collaboration Platforms の更改
太田 憲治
東北大学電気通信研究所 やわらかい情報システムセンター
kenji.ota@riec.tohoku.ac.jp

Renewal of On-premises Content Collaboration Platforms
Kenji Ota
Flexible Information System Center, RIEC, TohokuUniv.
概要
東北大学電気通信研究所では,2016 年 4 月より OpenSouceSoftware である OwnCloud を用いた On-premises Content Collaboration Platforms によるサービス提供を行っている. 2019 年 7月に,G Suite for Education（Google 社）の契約により Google Drive が利用可能になったことから廃止を検討するが,柔軟に対応できるユーザ管理とインハウスネットワークを超えた
ファイルシェア,プライベートクラウドに対する根強い要望があり,2019 年 8 月に Own Cloudの更改が決定した.更改に向けた取り組みを,検討 phase,構築 phase,運用 phase に分けて紹介する.

1

できる. Network Attached Storag(NAS)とも比較さはじめにれるが,インハウスネットワーク以外の人や学外

東北大学電気通信研究所では,利用者からのフからでも Web ブラウザを利用してファイルやフォァイルバックアップ,メールに添付できない大容ルダの共有をすることができ,様々な専用アプリ

量ファイルのシェア,WebDAV によるファイル管を利用して,カレンダー機能やメールクライアン

理 な ど の 要 望 を 受 け て ,2016 年 に Content

ト機能,LDAP サーバとの連携機能が標準で備わっ

Collaboration Platforms の検討を行った. 費用のかている違いがある.

からない無料のシステムを検討するが,通信速度

Owncloud の最大の特徴は,Open Souce Softwareやセキュリティ,容量などの不安要素があり,Openの為,様々な機能を無償で利用できることにある.

Souce Software である OwnCloud を用いて構築を行った. 2019 年 7 月に東北大学が Google 社と G Suite

3

OwnCloud 更改の検討 phasefor Education の契約を結び Google Drive の利用が3.1 現状の問題点可能になったことから,OwnCloud のサービス提供

OwnCloud に は ,Community Edition, Standardを廃止することを検討したが,ユーザ管理の問題

Edition, Enterprise Edition の 3 つの Edition が用意さとオンプレミス型に対する根強い要望があり,サれているが,無償提供されているのは Communityービスの継続を行うことを決定した.OwnCloud は,Edition と Standard Edition の二つの Editon に限られ導入から 3 年が経ち安定期に入っているが,セキュている.監査ログ,ファイルのアクセス制

リティ面の問題もあり OwnCloud のリプレイスを限,SAML/Shibboleth 連携機能等を利用したい場検討し始めた.

合は,有償ライセンスである Enterprise Edition が必要になる為, 管理者にとって確認したいログ機能

2やアクセスを制限する機能が不足しておりセキュ

OwnCloud とはリティ面で問題があった.利用者側としても,スマのートデバイス用アプリが ITunes Store や Google

On-premises Content Collaboration Platforms で あPlay などから提供されているが,有償で購入する必る.DropBox や GoogleDrive と同様に,パソコンやタ要がる.[1]OwnCloud

は ,OpenSouce

Softwareブレット等のデータをサーバ内に保存することが212

3.2 新しいソフトウェアの検討

ハードウェア/ソフトウェアの構成については,

OwnCloud を導入してから 3 年が経ち,利用頻度の高い利用者からの操作や機能に関する問い合わ
せは少なく,不満の声も無いことから,できる限りプロキシサーバ,アプリケーションサーバ,データベースサーバ,使用機器の順に記載する.

操作性や機能性を変えずに,ログ機能やアクセス<プロキシサーバ>制限機能を備えているソフトウェアを検討した.

・ハードウェア

検討段階で,2016 年 6 月に OwnCloud プロジェク‐CPU:2vCPU

トの創設者である Frank Karlitschek らが,操作性や‐メモリ:2048MB

機能性を継承した「NextCloud プロジェクト」を立‐HDD60GBち上げていることを知った [2].長期運用する上で持続的なソフトウェアであるか確認すると,初期・ソフトウェア
‐CentOS：7.6.1810 (Core)バージョンを 2016 年 6 月にリリース[3]して以降,‐Apach: Apache/2.4.6-89 (CentOS)

半年に一回定期的にアップデートされている. [4].
さらに,機能面では,ファイルストレージ機能,ファイル・フォルダ共有機能など現行の OwnCloud<アプリケーションサーバ>
・ハードウェアと同様の機能が備われているのに加え,監査ログ,‐CPU:4vCPU

ファイルのアクセス制限,SAML/Shibboleth 連携‐メモリ:12288MB機能等[5]も備わっていた.現状の問題点を改善す‐HDD:30TBることができ,操作性が変わらない唯一のソフトウェアであると考え NextCloud を採用すること・ソフトウェア‐NextCloud: 16.0.3に決めた.

‐PHP: 7.2.10‐Apache: 2.4.6-89 (CentOS)

4 NextCloud の構築 phase‐Radis: 3.2.12

ソフトウェアやデータベースにて障害が発生した際に,切り分けや復旧作業をやりやすくする構成と,セキュリティ,パフォーマンスに配慮したシス テ ム 構 築 を 目 指 し た . 構 築 に は ,NextCloud の‐Fail2Ban: 0.9.7-1.el7<データベースサーバ>
・ハードウェア
‐CPU: 4vCPU

Admin manual[6]を参考に構築を行った.

‐メモリ: 8192MB
4.1 システムの構成‐HDD:300GB

VMware 社の vSphere 上にプロキシサーバ,ア・ソフトウェア

プリケーションサーバ,データベースサーバを分‐MariaDB: 10.3.17-1

けて構築を行った.

‐phpMyAdmin: 4.9.0.1

3 つに分けた理由としては,現在の OwnCloud サ<使用機器>

ーバも Proxy サーバ配下に設置してあることから,

サーバ

その形を継承した.また,アプリケーションサーバ

Cisco UCS B300 M3 (vSphere)とデータベースサーバに関しては,運用中のストレージ

OwnCloud にて,CPU やメモリの負荷が高い状況

Synology RackStation RS3617xs+に陥り「アプリケーションの問題か」「データベーネットワーク

スの問題か」が最終的に判断付かないまま運用途

HPE FlexFabric 5700 Switch(10Gb 接続)

中で構成変更した経緯があり,論理的に分割をし,※サーバ・ストレージ間は,10Gb で通信されていパフォーマンス問題等が発生した場合の視認性をる.

高める為に構成を分けた.

213

4.3 パフォーマンス対策

4.2 セキュリティ対策
当センターで構築している,多くのサーバ OS

特に,NextCloud を高速化する上で,PHP のキャは,CentOS を利用しており,使い慣れていることッシュ設定は重要である.Apache Bench を用いから CentOS7 を基本 OS とした.て,PHP キャッシュの設定をする前と後の一秒間

昨今,学外からのサイバー攻撃が高まっており,不正アクセス攻撃対策として,自動遮断ツール当たりのリクエスト処理数（図１）と一リクエスト当たりの処理時間（図 2）を比較してみた.

Fail2ban を採用した.
Fail2ban は,NextCloud 側の監査ログに記録されるログイン失敗に関する情報を用いて,ログイン失敗回数と失敗期間を設定し,攻撃してきた IPアドレスをしてする期間ブロックするソフトウェ
アである.
設定としては,監査ログの内容をフィルタするファ

イル

を/etc/fail2ban/filter.d/

図-1 一秒間のリクエスト処理に,[ nextcloud.conf ]として作成した.作成例は,次の通りである.
failregex={"reqId":".*","level":2,"time":".*","remoteAddr":".*","user":"--","app":"core","method":"POST","url":"¥/nextcloud¥/index.php¥/login","message":"Loginfailed:'.*'(RemoteIP:'.*')","userAgent":"*.","version":".*"}
次 に Ban す る 動 作 の 内 容 を 決 め る

図-2 一秒間の処理時間

為,/etc/fail2ban/へ[ jail.local ]を次の通りに作成

Nextcloud では,Alternative PHP Cache User

した.

Cache (APCu)が,ローカルキャッシュとして動作[nextcloud]する為,2 回目以降のアクセスに対して高いパフォ

enabled = true

ー マ ン ス を 発 揮 す る .[7] さ ら に ,Remotefilter = nextcloud

Dictionary Server (Redis)を用いて操作中にファport

イルが破損しないようにファイルをロックする働= http,httpsbantime = 315360000 <x 秒間止る(10 年)>

きをインメモリ処理する為,高速に処理を行うこ

findtime = 600 <失敗期間(10 分)>とができる.[8]maxretry = 5 <連続失敗回数(5 回)>
4.3 カスタマイズ

logpath = /home/data/nextcloud.log

現行の OwnCloud では,独自性を出すために,ロホワイトリストの設定も可能になっており,学内グイン画面やログイン後の個人ページなどの背景からのアクセスや特定の IP アドレスをホワイト色・ロゴなどのカスタマイズを行っている.以前リストとして別途登録することができる.

は,themes ディレクトリ内を変更し,config ファイ

この仕組みは,電気通信研究所内の SSH ポート

ルも一部変更するなどの手前がかかっていたをファイアウォールで許可しているすべてのサーが,NextCloud 側では[Therming]機能が実装されバに対して導入している.

たことにより,画像データのアップロードや色の214変更が Web 管理画面よりでき作業が軽減された.

Google Drive を利用してもらい,研究室のファイルNextCloud の Top 画面では,デフォルトでパスサーバとしての役割や事務と教員の共有データ保ワードリセットに関する Link が表示されるよう管場所などが主な利用と考えている.になっていた.ログイン画面よりパスワードの変更をさせないように設定する為,Link の削除を

5.2 利用方法=>

利用したい人や研究室・部署よりメールにて申'disabled',]行を追加し,表示されないように設定を請してもらいアカウントを発行する方法とする.

行った[9].

原則として,センターが管理するユーザアカウン

config.php

内 の ['lost_password_link'

独自性を出すために,デフォルトの Top 画面 (図3)をカスタマイズした Top 画面(図 4)へカスタマズする際,現行の OwnCloud システムよりも作業がトに限定してサービスを提供する.
ログインする際に,2 要素認証を検討したが,ユーザの使い勝手を優先する為,導入を見送った.

軽減された.
5.3 ユーザ管理
柔軟なユーザアカウントの配布ができるよう研究所内の LDAP サーバとの連携を行わず,ローカルユーザーをセンター側で作成・削除するやり方を取る.
5.4 使用量の制限
現在の OwnCloud システムでは,構成員全員が利用してもらえるように 50GB と限られた領域しか提供出来なかったが,NextCloud システムでは,利用者の数は限られると判断し 1TB と容量を大幅に増加させる.

図 3 変更前のデフォルトの Top 画面

5.2 保守運用
セキュリティ対策として,定期的なアップデートを行う.アップデート作業が属人化しないようにアップデートマニュアルを作成し全員に共有する.

5 今後の課題とまとめ
5.1 今後の課題
2 要素認証を取り入れない代わりに,新規ログイ
図 5 変更後のカスタマイズの Top 画面ンした際に,メールでログインした IP を知らせる機能を付加したいと考えているが,NextCloud 専

5 運用 phase

用アプリは提供しされていない為,ソースコード

5.1 利用目的
Google Drive を利用可能になったことから,個人のバックアップやファイル共有は,基本的に215を編集して仕組みを作らなければいけない.

5.2 まとめOn-premises Content Collaboration Platforms の更改に向けた取り組みを紹介した.近年クラウドサービスの飛躍的な進化により Google Drive やDrop Box などが誰でも簡易的に利用できるようになっている.本学でも,オンプレミスよりもクラウドの利用が多くなってきているのが現状であるが,利用が増すと同時にアカウントの問題や柔軟なカスタマイズ性などが問題視されることも出てきている.
オンプレミス版クラウドシステムの提供を考えている担当者に,この情報が届いてもらえれば幸いである.

参考文献[1] 株式会社スタイルズ Enterprise ライセンス（ 有 償 ラ イ セ ン ス ） に つ い てhttps://owncloud.jp/solutions/enterprise[2] nextcloud.org Core ownCloud Contributors ForkownCloud
IntoNextcloudhttps://nextcloud.com/press/pr20160602/[3] nextcloud.org Nextcloud 9 Released Ahead ofPromised Date and Fully Committed to Open
Source https://nextcloud.com/press/pr20160614/[4] nextcloud.org Nextcloud Server Changelog
https://nextcloud.com/changelog/．
[5] nextcloud.org
Architecture
Overview
https://nextcloud.com/whitepapers/[6] nextcloud.org
Administration
Manualhttps://docs.nextcloud.com/server/16/admin_manual/[7] ThePHPGroup
APC
User
Cache
https://www.php.net/manual/ja/book.apcu.php[8] nextcloud.org
Transactional
filelocking
https://docs.nextcloud.com/server/16/admin_man
ual/configuration_files/files_locking_transactiona
l.html[9] nextcloud.org Remove the possibility to reset
password
forusers
https://help.nextcloud.com/t/remove-the-possibilit
y-to-reset-password-for-users/27570

216