ユーザーズガイド KYOSHO PIPER J-3 CUB 50-EP

[. . . ] (エージェントがコンプライアンス評価を実行しました。エンドポイント はポリシーに準拠していません。) 101: The Agent is not running. (エージェントが起動していません。) 102: Registration is required. [. . . ] (このユーザー名に対するポリシー が見つかりません。) 104: An error occurred during the compliance assessment. (コンプライアンス評 価中、エラーが発生しました。) ■ ■ ■ ■ ■ ■ 4. 2 タスク ここでは、フローチャートを使って Quarantine Agent のワークフローを説明 します。 11 Sophos NAC Advanced 12 エージェント 環境設定ガイド 13 Sophos NAC Advanced 14 エージェント 環境設定ガイド 15 Sophos NAC Advanced 16 エージェント 環境設定ガイド 4. 3 環境設定 17 Sophos NAC Advanced Quarantine Agent (検疫エージェント) を設定するには次のステップを実行し てください。 1. Compliance Manager NAC Manager で、Network Resources (ネットワーク リソース) を作成して Agent Enforcer Access Template (エージェント エン フォーサ アクセステンプレート) に適用する。 ネットワークリソースは、エンドポイントの修復に必要なアプリケーショ ンやデバイス、または隔離されたエンドポイントによるアクセスを制限す る必要のあるアプリケーションやデバイスです。Agent Enforcer Access Template は、Quarantine Agent で施行を実施する際に、エンドポイントに アクセスを許可/拒否するネットワークリソースを識別するためのアクセ ステンプレートで、ポリシーに関連付けて使用します。Network Resources へのアクセスは、エンドポイントの修復ができるように、隔離されたエン ドポイントにも許可する必要があります。また、プロキシサーバーを使用 している場合は、プロキシへの接続も許可する必要があります。 2. Compliance Manager で Agent configuration Template の Agent settings を設 定する。 Agent Configuration Template では、エンドポイントにおけるエージェント の動作設定を任意で定義できます。NAC Manager の Agent Configuration Template でエージェント設定を行い、インターフェースの表示や機能オプ ションを調整することも可能です。 3. Agent Configuration Template と Agent Enforcer Access Template を含むポリ シーを作成し 、 Compliance Manager のグループに関連付ける。 エンドポイントのコンプライアンス評価に、Agent Configuration Template と Agent Enforcer Access Template を使用するには、エンドポイントのグルー プに関連付けられているポリシーにテンプレートを適用する必要がありま す。適用すると、エージェントが次のコンプライアンス評価で、更新され たポリシーを取得し、エンドポイントで変更が自動的に反映されるため、 エージェントを再インストールする必要はありません。 4. Sophos Compliance Agent を各エンドポイントに一括インストールする。 エンドポイントが指定されているポリシーを取得し、ポリシーで定義され ている設定が適用されます。 ネットワークリソース、Agent Enforcer Access Template、Agent Configuration Template、およびポリシーの詳細は、「Compliance Manager ガイド」をご覧 ください。 4. 4 ログ 18 エージェント 環境設定ガイド Quarantine Agentでは、トラブルシューティング用の複数のログファイルを使 用できます。これらのファイルはエンドポイントのハードディスクに保存さ れます。 ログの記録はQuarantine Agentのパフォーマンスに影響を与えます。そのた め、ログ設定はトラブルシューティングを行うときだけ有効にし、完了後、 無効にすることをお勧めします。ログファイルには、ユーザーを特定できる ようなデータは記録されません。設定で指定できるレベルの情報が記録され ます。ログの設定は、エージェントのバージョン情報ダイアログボックスか ら有効にできます。ログの出力レベルはエージェントの設定でカスタマイズ が可能です。各ログファイルの保存期間は、エージェント設定の値で指定で きます。エージェントセッションが開始されると、指定された保存期間を過 ぎたログファイルはすべて削除されます。 ログファイルは次の 3種類です。 ■ ■ ■ Session Log (セッションログ): 高度なエラー情報が記録されます。 Trace Log (トレースログ): 詳細なエラー情報が記録されます。 Agent Log (エージェントログ): エージェントに関するエラー情報が記録さ れます。 1. 19) をご覧ください。 このアイコンが非表示設定の場合、 登録期限が切れた際には「結果を待 機中です」アイコンが表示されま す。 見出し: 新しい結果を表示できます。 テキスト: 結果を表示するにはクリック してください。 見出し: ご使用のマシンは検疫エリアに 隔離されました。 デフォルトのテキストなし。 見出し: ご使用のマシンは検疫エリアか ら移動されました。 デフォルトのテキストなし。 保留中の処理があるときに表示。処 理内容は「結果」ダイアログボック スに表示されます。 エージェントが検疫ステートのとき に表示。 エージェントの検疫状態が解除され たときに表示。 33 Sophos NAC Advanced 4. 6. 4 「登録」ダイアログボックス 「登録」ダイアログボックスは、ユーザーに対して最初に表示されるダイア ログボックスで、ユーザーはこのダイアログボックスに、コンプライアンス アプリケーションサーバーへの接続に必要な情報を入力します。「登録」ダ イアログボックスは、エンドポイントで最初にエージェントが起動したとき や、エージェントの登録モードが「Always Prompt」(常にプロンプト表示) に 設定されている場合に表示されます。また、「Prompt on Demand」(オンデ マンドでプロンプト表示) に設定されている場合は、登録の有効期限が切れ ているときに表示されます。「登録」ダイアログボックスは、メニューの 「登録」オプションから開くことができます。 重要: エージェントの登録モードは、Compliance Managerのエージェントの 登録設定内容と必ず一致させてください。この 2つの設定が矛盾していると、 登録機能が正常に動作しないことがあります。使用する設定について、さら に詳しくは「Sophos NAC Advanced ベストプラクティス ガイド」をご覧くだ さい。 「登録」ダイアログボックスの表示例 4. 6. 5 「アカウント情報」ダイアログボックス 「アカウント情報」ダイアログボックスは、エージェントの起動後に表示さ れるダイアログボックスで、ユーザーはこのダイアログボックスに、コンプ ライアンスアプリケーションサーバーへの接続に必要な情報を入力します。 「アカウント情報」ダイアログボックスは、エンドポイントで最初にエー ジェントが起動したときや、エージェントの登録モードが「No Password」 (パスワードなし) の場合に表示されます。また、「Prompt on Demand」(オ ンデマンドでプロンプト表示) に設定されている場合は、登録の有効期限が 切れているときに表示されます。「アカウント情報」ダイアログボックス は、エージェントの登録モードに応じて、メニューの「登録」オプションか ら開くことができます。 34 エージェント 環境設定ガイド 重要: エージェントの登録モードは、Compliance Managerのエージェントの 登録設定内容と必ず一致させてください。この 2つの設定が矛盾していると、 登録機能が正常に動作しないことがあります。使用する設定について、さら に詳しくは「Sophos NAC Advanced ベストプラクティス ガイド」をご覧くだ さい。 「アカウント情報」ダイアログボックスの表示例 4. 6. 6 「アカウント情報のリクエスト」ダイアログボックス 「アカウント情報のリクエスト」ダイアログボックスは、無効なアカウント 情報を入力したときや、RSA サーバーから RSA チャレンジを受信したときに 表示されます。 「アカウント情報のリクエスト」ダイアログボックスの表示例 4. 6. 7 「結果」ダイアログボックス 「結果」ダイアログボックスには、ポリシーで定義されているユーザーメッ セージや、エラーが発生したときのエラーメッセージが表示されます。この ダイアログボックスを表示するには、「結果の表示」メニューオプションを 選択します。最新のコンプライアンス評価に関するメッセージが表示されま す。 「結果」ダイアログボックスの表示例 35 Sophos NAC Advanced 4. 6. 8 「バージョン情報」ダイアログボックス 「バージョン情報」ダイアログボックスには、エージェントのバージョン情 報、著作権情報、「ログを有効にする」チェックボックスが表示されます。 「バージョン情報」ダイアログボックスは、メニューの「バージョン情報」 オプションから開くことができます。 「バージョン情報」ダイアログボックスの表示例 36 エージェント 環境設定ガイド 5 Dissolvable Agent ここでは、Dissolvable Agent (検疫エージェント) の機能概要と設定方法につ いて説明します。 5. 1 機能概要 Dissolvable Agent は、コンプライアンス アプリケーション サーバー など Windows ベースの Web サーバーにインストールし、ゲストユーザーが Dissolvable Agent を実行するときにアクセスする Web ページを提供します。 Dissolvable Agent はスタンドアロンの Java アプレットで、エンドポイントの ローカルマシン上で起動します。起動に際して管理者権限やパワーユーザー 権限は必要ありません。 処理オペレーション Dissolvable Agent が起動すると、ダイアログボックスに進行状況や必要な操 作が順に表示されます。また、Compliance Manager で定義されているポリ シーに従って定期的にプロセス処理を実行します。処理が完了すると、 Dissolvable Agent はエンドポイントから自動的に削除されます。Dissolvable Agent にネットワークアクセスの施行機能はありませんが、RADIUS、DHCP、 または802. 1x エンフォーサと組み合わせて導入することができます。 呼び出されると、Dissolvable Agent でポリシーの取得、評価、施行、および エンドポイントの修復やレポート処理が実行されます。Dissolvable Agent で は、Dissolvable Agent を Web サーバーにインストールした際に、「Always register agent with server」チェックボックスを選択し、Compliance Manager で の Dissolvable Agent の登録設定を有効にした場合に限りゲストユーザーに対 して登録が要求されます。登録が不要な場合、Dissolvable Agent は、デフォ ルトポリシーを使用してエンドポイントのコンプライアンスステートを評価 します。RADIUS アクセスはユーザーベースで実行されるため、登録が不要 な場合、RADIUS 施行を使用できないことにご注意ください。 ヒント: 以前のバージョンからバージョン 3. 2. 2 へ Sophos NAC Advanced を アップグレードした場合は、アップグレード前のバージョンの登録設定が引 き継がれます。たとえば、以前のバージョンの Dissolvable Agent でゲストユー ザーに登録を要求していた場合は、アップグレード後も同じように登録が要 求されます。 レポートおよびメッセージの表示 評価結果には、エンドポイントにインストールされている (あるいはされて いない) ソフトウェア、ポリシーに反するアクセスがあったときのコンプラ イアンスステート、エンドポイントユーザーに表示したメッセージが表示さ 37 Sophos NAC Advanced れます。評価中は、Compliance Manager のプロファイルで設定されている、 ユーザーメッセージや評価エラーが表示されます。 ヒント: Dissolvable Agent は、制限付きユーザーアカウントで実行している場 合、パッチの評価を実施することはできません。管理者権限のあるアカウン トに変更してください。変更できない場合は、Dissolvable Agent を実行する ユーザー用のポリシーを別に作成することをお勧めします。ポリシーにパッ チは含めず、Windows Update プロファイルは含めるようにしてください。こ のプロファイルは、Windows Update ツールがインストールされており、自動 更新が有効になっていることを確証します。詳細は「Compliance Manager ガ イド」をご覧ください。 5. 2 タスク ここでは、フローチャートを使って Dissolvable Agent のワークフローを説明 します。 38 エージェント 環境設定ガイド 39 Sophos NAC Advanced 40 エージェント 環境設定ガイド 5. 3 環境設定 41 Sophos NAC Advanced Dissolvable Agent を使用するには、まずはじめに、ゲストユーザーが接続で きる Windows ベースの Web サーバーに Sophos Compliance Dissolvable Agent をインストールします。Dissolvable Agent は、Sophos NAC Advanced がインス トールされているサーバーにインストールすることもできます。 1. Compliance Dissolvable Agent を Windows ベースの Web サーバーにインス トールする。 Compliance Dissolvable Agent はソフォスの Web サイトからダウンロードで きます。Sophos Compliance Dissolvable Agent をインストールすると、 Dissolvable Agent に必要なファイルがインストールされます。詳細は「 Sophos NAC Advanced インストールガイド 」をご覧ください。 2. 必要に応じて、Compliance Dissolvable Agent の URL をゲストユーザーに 通知する。 エンドポイントが指定されているポリシーを取得し、ポリシーで定義され ている設定が適用されます。Dissolvable Agent をデフォルトのディレクト リにインストールした場合、各エンドポイントから Dissolvable Agent にア クセスするには、https://<IPアドレス/DNS 名>/dissolvableagent にアクセス してください。IP アドレスや DNS 名は、Dissolvable Agent をインストール した Web サーバーです。運用環境以外でテストを行うときなど HTTPS を 無効にした場合は、http://<IP アドレス/DNS 名>/dissolvableagent にアクセ スしてください。 5. 4 ログ Compliance Manager のログ設定は、Dissolvable Agent には定義されていませ ん。設定はエンドポイントで定義します。 Dissolvable Agent では、トラブルシューティング用の複数のログファイルを 使用できます。これらのファイルはエンドポイントのハードディスクに出力 されます。ログの記録は Dissolvable Agent のパフォーマンスに影響を与えま す。ログ設定はバージョン情報ダイアログボックスから有効にできますが、 トラブルシューティングを行うときだけに設定を有効にし、完了後、無効に することをお勧めします。ログファイルには、ユーザーを特定できるような データは記録されません。設定で指定できるレベルの情報が記録されます。 ログファイルは次の 3種類です。 ■ ■ Session Log: 高度なエラー情報が記録されます。 Trace Log: 詳細なエラー情報が記録されます。 42 エージェント 環境設定ガイド ■ Agent Log: エージェントに関するエラー情報が記録されます。 1. Dissolvable Agent を起動します。 2. 「登録」、「アカウント情報」、または「結果」ダイアログボックスの Sophos NAC Advanced アイコンをクリックし、「バージョン情報」を選択 します。 バージョン情報ダイアログボックスが表示されます。 3. 「ログを有効にする」チェックボックスを選択します。 4. [. . . ] Dissolvable Agent を起動します。 5. <ドライブ名>:\Sophos\SDA<任意の数値>\Logs ディレクトリにあるログファ イルを参照します。 6. [. . . ]