Java Management Service

解決する課題

多くの組織では Java の実行環境（JDK／JRE）が長年にわたり各サーバーや PC へ個別にインストールされ、「どこに・どのバージョンが・誰によって」入っているかを誰も正確に把握できていません。Java Management Service（JMS）は、こうした散在した Java インストールを横断的に検出・追跡し、棚卸し・移行・脆弱性対応の基盤を提供します。

• 社内にどのバージョンの Java が何台にインストールされているかを棚卸ししたい
• サポート終了（EOL）や脆弱性のある古い Java を抱えたホストを特定したい
• どのアプリが実際に Java を使っているか・どのクラスを呼んでいるかを把握し、移行の影響を見積もりたい
• Oracle Java SE のサブスクリプション契約に対し、実際の利用状況を可視化してコンプライアンスを保ちたい
• オンプレ・他クラウド・OCI にまたがる環境を1 つのコンソールで横断管理したい

主要概念と用語

• Fleet（フリート）: JMS の最上位の管理単位。監視対象の Java インストールやホストをまとめる論理的な入れ物で、レポートや設定はこのフリート単位で扱う
• Managed Instance（管理対象インスタンス）: JMS が監視する個々のホスト（OCI のコンピュート、他クラウドの VM、オンプレ PC／サーバーなど）。エージェント経由でフリートに登録される
• Management Agent（管理エージェント）: ホストにインストールし、Java の在庫情報や実行データを収集して JMS へ送る常駐コンポーネント。OCI の汎用 Management Agent を利用する
• Java Runtime（Java 実行環境）: ホスト上で検出された JDK／JRE。ベンダー・バージョン・インストールパスなどの属性を持つ
• Java Usage Tracking（利用トラッキング）: 実際に起動された Java アプリケーションと、その JVM・引数などの実行情報を記録する仕組み。インストールの有無だけでなく「使われているか」を把握できる
• Application（アプリケーション）: 検出された Java で実行されているアプリ単位の情報。どの実行環境でどのアプリが動いているかを結びつける
• Crypto Event Analysis（暗号イベント分析）: アプリが利用している暗号アルゴリズムや TLS の状況を可視化する分析機能。弱い暗号の洗い出しに使う
• Lifecycle Management（ライフサイクル管理）: 検出だけでなく、対象ホストへ新しい Java バージョンを配布・更新するための運用機能

仕様・制限・クォータ

• 収集にはエージェントが必須: 各ホストに Management Agent を導入し、フリートへ登録して初めてデータが集まる。エージェントを置けないホストは可視化できない
• 対応 OS が広い: Linux・Windows などへエージェントを導入でき、OCI 以外（他クラウド・オンプレ）のホストも管理対象にできる
• フリート単位の集約: レポート・利用トラッキング・設定はフリート単位。組織やプロジェクト構造に合わせてフリートを設計する
• データには取り込み・保持の範囲がある: 利用トラッキングや在庫データの保持期間・収集頻度にはサービス上の前提があり、長期トレンドが必要なら別途のエクスポートを検討する
• リージョンに属する: フリートはリージョンのリソース。広域に分散した環境では、リージョン構成と IAM 設計をあわせて検討する
• 具体的な保持日数・収集間隔・対応バージョンなどの数値は変動しうるため、最新値は公式ドキュメントで確認する

内部の仕組み

JMS の中核は「ホスト上の Java を検出し → エージェントが収集し → フリートで集約・分析する」という流れです。

• 管理対象ホストには Management Agent を導入し、JMS のプラグインを有効化します。エージェントはホストをスキャンして**インストール済みの JDK／JRE（ベンダー・バージョン・パス）**を検出します。
• Java Usage Tracking を有効にすると、実際に起動された JVM プロセスの情報（実行された Java バージョン・起動引数・アプリ名など）が記録され、「入っているが使われていない Java」と「実際に稼働中の Java」を区別できます。
• 収集されたデータはフリートに集約され、コンソール上でバージョン分布・EOL 状況・ホスト一覧・アプリ一覧として可視化されます。古い／脆弱なバージョンを抱えるホストを絞り込めます。
• Crypto Event Analysis では、アプリが利用する暗号アルゴリズムや TLS 設定を収集・分析し、弱い暗号やプロトコルの利用箇所を洗い出せます。
• ライフサイクル管理機能を使うと、検出にとどまらず、対象フリートのホストへ新しい Java バージョンの配布・更新を行えます。

設計パターン / ベストプラクティス

• フリートを組織構造に合わせて分割: 部門・環境（本番／検証）・契約単位などでフリートを分け、レポートと権限を整理する
• 利用トラッキングを早期に有効化: 在庫（インストール有無）だけでなく利用実態を取ることで、未使用 Java の停止や移行優先度の判断が根拠を持つ
• EOL・脆弱バージョンを定期レビュー: バージョン分布レポートを定例で確認し、サポート終了が近い実行環境を計画的に移行する
• 暗号イベント分析で TLS を点検: 弱い暗号・古い TLS を使うアプリを洗い出し、暗号化方針の更新につなげる
• ライフサイクル管理で更新を標準化: 個別の手作業ではなく、フリート経由の配布で Java バージョンの更新運用を統一する
• Management Agent の導入を自動化: 構成管理ツールやイメージへの組み込みで、新規ホストが自動的に可視化される状態を保つ

運用・監視

• ホストがフリートに出てこない: Management Agent が稼働し JMS プラグインが有効か、エージェントの IAM（動的グループ・ポリシー）が正しいか、ホストから JMS エンドポイントへ通信できるかを確認
• Java は検出されるが利用データが出ない: 利用トラッキングが有効か、対象 JVM が記録対象の起動方法か、収集に必要な権限・設定が揃っているかを点検
• バージョンが古いまま残る: 検出されたホストのうち更新対象を絞り込み、ライフサイクル管理または既存の配布手段で計画的に更新する
• エージェント由来のデータ欠落: エージェントのバージョン・接続状態を監視し、停止・切断を OCI Monitoring のアラームや Notifications で検知する
• 棚卸し結果のレビュー運用: レポートを定期的に見るだけでなく、移行・削減アクションの担当と期限をフリート単位で管理する

コスト

JMS 自体は OCI のマネージドサービスとして提供され、データの収集・可視化機能を利用できます。ただし JMS は Oracle Java SE サブスクリプションと密接に関連し、ライセンス／サポート契約の枠組みの中で価値を発揮する位置づけです。コストの主因は JMS の機能そのものより、監視対象ホスト規模に伴う運用負荷や、Java SE 契約・移行作業の側にあります。

• 可視化による無駄削減: 未使用 Java の停止や、過剰なインストールの整理により、ライセンス・運用コストの最適化につながる
• EOL 移行の前倒し: サポート切れ Java の放置による緊急対応コストや、脆弱性インシデントのコストを避けられる
• 課金やライセンスの具体条件は契約・時期で変わるため、最新の料金・サブスクリプション条件は公式情報で確認する

セキュリティ

• 脆弱な Java の特定: EOL・既知の脆弱性を持つバージョンを抱えるホストを洗い出し、優先的にパッチ／移行する。これが JMS のセキュリティ上の主目的の 1 つ
• 暗号の健全性チェック: Crypto Event Analysis で弱い暗号・古い TLS の利用箇所を可視化し、暗号化方針の遵守を確認する
• IAM ポリシーで権限分離: フリートの管理（作成・配布）と参照（レポート閲覧）を別グループに分け、最小権限で付与する。エージェント登録用の動的グループも限定する
• エージェントの保護: Management Agent の認証情報・キーは安全に管理し、エージェント自身も最新版へ更新する
• 役割の整理: 「Java の在庫・利用・暗号状況」は JMS、「OS／ソフト全般のパッチ管理」は OS Management Hub、「API 操作の監査」は OCI Audit が担う。混同しない

関連サービス・比較

JMS は OCI の管理系サービス群の一員で、Java に特化している点が特徴です。OS やソフトウェア全般のパッチ管理は OS Management Hub、データ収集の足回りは Management Agent が担います。クラウド横断で「特定ランタイムの在庫を一元管理する」という発想は、AWS や Azure には完全一致のサービスが少なく、JMS の独自性が強い領域です。

ハンズオン / CLI例

# 1) フリートを作成（Java の在庫・利用を集約する入れ物）
oci jms fleet create \
  --compartment-id "$COMPARTMENT_OCID" \
  --display-name "corp-java-fleet" \
  --description "Corporate Java inventory fleet"

# 2) フリートの一覧を確認し OCID を取得
oci jms fleet list \
  --compartment-id "$COMPARTMENT_OCID" \
  --display-name "corp-java-fleet"

# 3) フリートに登録された Java 実行環境（バージョン分布）を確認
oci jms fleet list-java-runtimes \
  --fleet-id "$FLEET_OCID"

# 4) フリートで検出されたアプリケーション一覧を確認（利用実態の把握）
oci jms fleet list-applications \
  --fleet-id "$FLEET_OCID"