PAM: セッションログファイル名がDownloadLogServletとなりダウンロードできない

Products

• CA Privileged Access Manager (PAM)

Issue/Introduction

CA Privileged Access Manager (以下、PAM)  4.0.2 を使用しているが、定期的に手動でログのダウンロードと削除を運用している。
ところが、セッションログのダウンロードを実行したとき、ファイル名が DownloadLogServlet となってしまう。
ダウンロードしても、ファイルサイズが 0 となり、中身が確認できない。

セッションログの件数は、249,648件あるが、これより多い件数の場合でもダウンロードが可能な日もあった。

成功例：

2023/04/11 : 251208件 エクスポート →「logexport20230411043150.csv」100 MB (105,875,599 バイト) 
2023/04/12 : 252644件 エクスポート →「logexport20230412020501.csv」101 MB (106,433,020 バイト)

アプライアンスシステム情報：

メモリ： 16GB
HDD: 80GB (23%使用中)

Environment

Release : 4.0 or later

Cause

PAM内部ログの内容を確認したところ、以下のエラーが記録されていました。

[Day-Mon-Year hh:mm:ss UTC] PHP Warning:  mysqli_query(): (HY001/1038): Out of sort memory, consider increasing server sort buffer size in ...

これはデータ取り出し時に作業用ソートメモリが枯渇していることを示しています。
処理の内容からもセッションログの取得と推定されます。
内部で使用される作業メモリの量は仮想マシンに搭載されるメモリのサイズで決定されます。
今回の環境を確認するとメモリは16GBとなっており、ログの件数からの処理量からメモリの不足となります。

  Memory Management
  https://techdocs.broadcom.com/us/en/symantec-security-software/identity-security/privileged-access-manager/4-1-2/administrating/maintenance/memory-management.html

Resolution

メモリ不足のエラーが発生する具体的な処理件数などによる条件の特定はできません。
問題を解消するためには以下のいずれかを行ってください。

• セッションログのイベント数を削減するために、手動でログを削除する。
• 自動ログパージを利用し、定期的にログレコードを削除する
• 仮想マシン搭載のメモリを弊社推奨の64GBまで増設する