KACE as a Service 7.1 - Administrator Guide (Japanese)

ローカルルーティングテーブルの設定

K1000がネットワーク上の複数のゲートウェイ経由でトラフィックをルーティングできるように、ローカルルーティングテーブルを設定します。

ローカルルーティングテーブルは、1つのオフィスに物理アプライアンスがあり、管理対象デバイスが別の場所に配置されている場合に役立ちます。例えば、アプライアンスがテキサスにあり、管理対象デバイスがカリフォルニアに配置されている場合、K1000アプライアンスはテキサスのサブネット上のデバイスに対してサービスを提供します。ローカルルーティングテーブルを使用すると、アプライアンスがカリフォルニアのネットワークを参照して、テキサスのデバイスに加えてカリフォルニアのデバイスもホストできるようになります。

アプライアンスのコントロールパネルに移動します。

◦

アプライアンスで組織コンポーネントが有効化されていない場合は、K1000管理者コンソール（http://K1000_hostname/admin）にログインして、設定をクリックします。

◦

アプライアンスで組織コンポーネントが有効化されている場合は、K1000管理者コンソール（http://K1000_hostname/system）にログインします。または、ページの右上隅にあるドロップダウンリストからシステムを選択して、設定をクリックします。

ローカルルーティングテーブルをクリックして、ローカルルーティングテーブル設定ページを表示します。

追加ボタンをクリックして、エントリを追加します（

）。

次の設定を指定します。

オプション	説明
名前	ルートの名前を入力します。
ターゲット	K1000アプライアンスの通信相手となるターゲットのIPアドレスまたはネットワークを入力します。
サブネットマスクまたはCIDR	指定したネットワークのサブネットマスクを入力します。例: 24, 255.255.240.0.これはホストに適用されます。
ゲートウェイ	K1000アプライアンスとターゲットネットワーク間でトラフィックをルーティングするルーターのIPアドレスを入力します。

行の最後で保存をクリックし、エントリを保存します。

ページの一番下で保存して再起動をクリックして、すべての変更を保存します。

Apache™ サービスの再起動が必要であることを示す警告が表示されます。

OK をクリックして続行します。

ローカルWebサーバーの設定とホワイトリストのホストの構成

ローカルウェブサーバーの設定を構成し、管理者コンソール、システム管理コンソールおよびユーザーコンソールへのアクセスを許可するホストのホワイトリストを指定します。ホワイトリストを作成すると、アクセスがホワイトリストのホストに制限されます。

注: IPアドレスまたはドメイン名のホワイトリストへの登録（許可リストへの追加）を行うと、そのIPアドレスまたはドメインのみがアクセスできるようになります。それ以外はブロックされます。

アプライアンスのコントロールパネルに移動します。

◦

アクセス制御リストをクリックして、アクセス制御リストの詳細ページを表示します。

次のオプションを指定します。

オプション	説明
アクセス制限なし	このオプションを選択すると、あらゆるWebアドレスからのアクセスが許可されます。
以下の指定に従ってアクセスを制限する	このオプションを選択すると、許可リストにあるWebアドレスへのアクセスが制限されます。指定したターゲットに加え、アプライアンスのサブネット上のIPアドレスをホワイトリストに登録するには、アプライアンスと同じサブネット上のすべてのIPアドレスを許可するを選択します。

許可リストセクションで追加ボタンをクリックして、エントリを追加します（

）。

•

adminui：これは管理者レベルの管理者コンソールです。http://K1000_hostname/admin にログインできるユーザーのホワイトリストです。

•

userui：これはユーザーコンソールです。http://K1000_hostname/userにログインできるユーザーのホワイトリストです。

•

systemui: これはシステム管理コンソール（アプライアンス上で組織コンポーネントが有効化されている場合にのみ利用可能）です。http://K1000_hostname/systemにログインできるユーザーのホワイトリストです。

IPアドレス/ドメイン名

許可するアドレスを入力します。次のどちらかになります。

•

ドメイン名（全部または一部）

•

IPアドレス（全部または一部）

サブネットマスク/CIDR

（オプション）許可するサブネットマスク/CIDR（Classless Inter-Domain Routing）を入力します。これを使用することで、より詳細にサブネットを制御できます。

行の最後で保存をクリックし、エントリを保存します。

ページの一番下で保存をクリックし、すべての変更を保存します。

Apacheサービスの再起動が必要であることを示す警告が表示されます。

OK をクリックして続行します。

注: IPアドレスまたはドメイン名を「許可リスト」に追加すると、そのIPアドレスまたはドメインのみがそのページにアクセスできるようになります。それ以外はブロックされます。

アプライアンスのセキュリティ設定の構成

アプライアンスのセキュリティ設定を構成して、SAMBA共有、SSL、SNMP、SSH、データベースアクセス、FTPアクセスなどの特定の機能を有効にする必要があります。

SSL を有効にするには、正しい SSL プライベートキーファイルと署名された SSL 証明書が必要です。プライベートキーにパスワードが設定されている場合、アプライアンスを自動的に再起動できません。この問題がある場合は、Questサポート（https://support.quest.com/ja-jp/contact-support）にお問い合わせください。

注: セキュリティ設定に対する変更を保存すると、アプライアンスが再起動されます。

注: ポート 443 へのアクセスを有効にしてアプライアンスを再起動した後で、管理者コンソールのログインページが Firefox® ブラウザで正しく表示されないことがあります。この問題が発生した場合は、FirefoxブラウザのキャッシュとCookieを削除して、もう一度やり直してください。

アプライアンスのコントロールパネルに移動します。

◦

セキュリティ設定をクリックして、セキュリティ設定ページを表示します。

一番上のセクションで、各設定を次のように指定します。

オプション

説明

SSHを有効にする

アプライアンスへのSSHログインを許可します。SSHが有効化されていると、ポート22を経由するSSH暗号化通信が許可されます。

Webサーバーの圧縮を有効にする

アプライアンスがWebページを圧縮できるようにします。圧縮することで、ブラウザでの管理者コンソールおよびユーザーコンソールページの読み込み時間を短縮できます。

インベントリAPIアクセスの有効化

API（アプリケーションプログラミングインターフェイス）コマンドを使用して、インベントリ情報を更新します。API を使用してデバイス情報をアップロードする場合は、この設定を有効にする必要があります。詳細については、APIを使用したデバイスの手動追加を参照してください。

APIパスワード

インベントリ情報へのAPI（アプリケーションプログラミングインターフェイス）アクセスに使用されるパスワード。このパスワードは、APIアクセスにのみ使用され、他のどのパスワードとも一致する必要はありません。

SNMP読み込みアクセスを有効にする

ネットワーク上の管理対象デバイスへの単方向（読み取り専用）SNMPアクセスを有効にします。

SNMPコミュニティ文字列

読み取り専用SNMPアクセスを有効にするSNMPコミュニティ文字列。デフォルト値はpublicです。

SNMPトラップ監視を有効にする

ネットワーク上の管理対象デバイスを監視するためのプロトコルであるSNMP（Simple Network Management Protocol）を有効化します。SNMPは、Dell Open Manageおよび多くのサードパーティ製品でサポートされています。ネットワークデバイスからのSNMPトラップを受信したくない場合は、このオプションをクリアします。

デバイスの監視を有効にする方法の詳細については、1つ、または複数のデバイスの監視の有効化を参照してください。

SNMPトラップはネットワークデバイスから開始するメッセージであり、アプライアンス上のトラップレシーバに送信されます。たとえば、ルーターの電源装置に障害が発生したときにルーターからメッセージを送信できます。また、プリンタで用紙切れが起こったときに、プリンタからメッセージを開始します。アプライアンスでは、これらのトラップを受信し、特定の事前定義のしきい値に到達するとアラートを生成します。

•

SNMPバージョン1または2：このバージョンには、有効なコミュニティ文字列のみが必要です。コミュニティ文字列は、監視対象ネットワークデバイスからのSNMPトラップメッセージをアプライアンスで受信できるようにするために必要です。アプライアンスは複数のコミュニティ文字列をサポートします。コミュニティ文字列を追加するには、v1/v2 タブを開き、

をクリックし、コミュニティ文字列を入力し、保存をクリックします。

•

SNMPバージョン3：このバージョンには、拡張セキュリティ機能およびリモート設定機能が実装されており、有効なユーザー名と暗号化情報が必要です。セキュリティ名を追加するには、v3 タブを開き、

をクリックして、次の情報を入力します。

◦

セキュリティ名：SNMPトラップを送信するユーザーベースのセキュリティモデル（USM）アカウントの名前。

◦

エンジンID：SNMPトラップを送信するSNMPアプリケーションエンジンのID。

◦

認証パスワード：セキュリティ名に関連付けられたパスワード。

◦

認証プロトコル：ユーザーの認証に使用するプロトコル。MD5またはSHAです。

◦

プライバシーパスワード：データパケットの暗号化キー。

◦

プライバシープロトコル：暗号化プロトコル。AESまたはDESです。

◦

セキュリティレベル：セキュリティのレベルを指定します。

▪

「authPriv」: 送信者のIDが検証され、情報が暗号化されます。

▪

「authNoPriv」: 送信者のIDが検証されますが、情報は検証されません。

▪

「noAuthNoPriv」: 送信者のIDは検証されず、情報は暗号化されません。

MIBファイル

ベンダー固有のMIB（管理情報ベース）ファイルをアップロードします。MIBファイルを使用すると、アプライアンス上のトラップレシーバでSNMPトラップを人間が読めるメッセージに変換できます。これらのファイルはオプションです。

•

MIBファイルをアップロードするには、セキュリティ設定ページの MIBファイルの下の MIBをアップロード領域で、参照を選択します。

•

MIBファイルは、一定の標準を満たしている必要があります。アプライアンスでは、アップロードしたMIBファイルごとに検証が行われます。標準を満たさないMIBファイルをアップロードした場合は、エラーメッセージがセキュリティの設定ページの上部に表示されます。MIBファイルの内容を検証しない場合は、MIB検証をスキップチェックボックスを選択します。

バックアップファイルのセキュリティを有効にする

K1000のバックアップファイルへのアクセスに、ユーザー名とパスワードを要求します。バックアップファイルは、ブラウザにURLを入力することで利用できます。

ユーザー名とパスワードの認証なしで、URLによるバックアップファイルへのアクセスを有効にするには、このオプションをオフにします。アクセスを必要とする外部プロセスに役立ちます。詳細については、アプライアンスバックアップについてを参照してください。

FTP経由のバックアップを有効にする

読み取り専用のFTPサーバーを経由したデータベースバックアップファイルへのアクセスを有効にします。これにより、別のサーバー上でプロセスを作成し、バックアップファイルにアクセスすることができます。

このアクセスが不要な場合は、このオプションをオフにします。

FTPを書き込み可能にする

FTPによるバックアップファイルのアップロードを有効にします。FTPは、バックアップファイルがデフォルトHTTPメカニズムに対して大きすぎて、ブラウザのタイムアウトが生じる場合に役立ちます。

新しいFTPユーザーパスワード

バックアップファイルへのFTPアクセスにパスワードを要求します。

mDNSを有効にする

アプライアンスがマルチキャストドメインネームシステム（mDNS）とDNS Service Discovery（DNS-SD）要求に応答できるようにします。このオプションにより、ユーザーおよび管理者は、より簡単に管理者コンソールとユーザーコンソールを見つけることができます。アプライアンスがこれらの要求に応答する必要がない場合は、このオプションをオフにします。

Webサーバーの診断グラフを有効にする

K1000 でアプライアンスウェブサーバーの使用率情報（Apache アクセスやボリューム統計など）を表示できるようにします。この情報は、システムパフォーマンスログにグラフで表示されます。このオプションをオフにすると、グラフは更新されません。詳細については、アプライアンスログの表示を参照してください。

データベースアクセスを有効にする

ユーザーがポート 3306 経由で、外部ツール（Microsoft Access や Excel など）を使用して K1000 データベース上でレポートを実行できるようにします。この方法でデータベースを公開する必要がない場合は、このオプションをオフにします。

セキュアデータベースアクセス（SSL）を有効にする

データベースへのSSLアクセスを有効にして、その他のSSLオプションにアクセスします。

オプション: アプライアンスの暗号化キーセクションで、キーの生成をクリックして新しい暗号化キーを生成します。このキーを使用して、Questサポートがテザリングを使用してトラブルシューティングのためにアプライアンスにアクセスできるようにします。現在のキーが侵害されたと考えられる場合以外は、新しいキーを生成する必要はありません。詳細については、Questサポートへのテザリングを有効にするを参照してください。

タイムスタンプで、キーが生成された時刻が示されます。

シングルサインオンセクションで、認証設定を指定します。

オプション	説明
無効	K1000 でシングルサインオンを使用しないようにします。シングルサインオンを使用すると、ドメインにログオンしているユーザーが、K1000 のログインページに資格情報を再入力する必要なく、K1000 管理者コンソールとユーザーコンソールにアクセスできるようになります。
Active Directory	認証にActive Directoryを使用します。Active Directoryでは、ドメインを使用して、ネットワーク上のユーザーを認証します。詳細については、Active Directory を使用したシングルサインオンを参照してください。
Quest Identity Broker	認証にQuest Identity Broker（QIB）を使用します。QIBは、ユーザーがさまざまなIDプロバイダを使用して安全に認証できるようにする、クラウドベースのシングルサインオン（SSO）ソリューションです。詳細については、Quest Identity Brokerを使用したシングルサインオンを参照してください。

SAMBA共有設定セクションで、次の設定を指定します。

オプション

説明

組織コンポーネントが有効になっているアプライアンスの場合:

組織のファイル共有を有効にする

組織コンポーネントがないアプライアンスの場合:

ファイル共有を有効にする

アプライアンスのクライアント共有を使用して、ファイル（管理対象デバイスにアプリケーションをインストールする際に使用するファイルなど）を保存します。

アプライアンスのクライアント共有は、プロビジョニングサービスで利用可能な組み込みのWindowsファイルサーバーで、ネットワーク上でSambaクライアントを配布するのに役立ちます。Questでは、管理対象デバイス上でアプリケーションのインストールを実行しているときにのみ、このファイルサーバーを有効にすることをお勧めします。

注: 組織コンポーネントがアプライアンスで有効になっていない場合は、各組織に対して他のファイル共有オプションを選択できます。詳細については、システムレベルでのファイル共有の有効化を参照してください。

アプライアンスのファイル共有にNTLMv2を要求する

K1000ファイル共有に対するNTLMv2認証を有効にします。このオプションを有効にした場合は、K1000ファイル共有に接続する管理対象デバイスはNTLMv2をサポートし、NTLMv2を使用してK1000に対する認証を受ける必要があります。NTLMv2は、NTLMやLANMANよりも安全ですが、非NTLMv2設定の方がより一般的なため、通常、このオプションはオフになっています。このオプションを有効にすると、Samba サーバーで lanman auth と ntlm auth が無効になります。NTLMv2レベル1～4がサポートされています。NTLMv2レベル5が必要な場合は、K1000エージェントの手動プロビジョニングを検討してください。詳細については、K1000エージェントの手動展開を参照してください。

オフボードファイル共有にNTLMv2を要求する

エージェントのプロビジョニングなど、SAMBAクライアントを介してサポートされるK1000の特定の機能が、NTLMv2を使用して強制的にオフボードネットワークファイル共有に対する認証を受けるようにします。NTLMv2は、NTLMやLANMANよりも安全ですが、非NTLMv2設定の方がより一般的なため、通常、このオプションは無効になっています。このオプションを有効にすると、SAMBAクライアント機能の client ntlmv2 auth オプションが有効になります。

オプション: SSL セクションで、次の SSL 設定を指定します。

重要: SSLを有効にすると、管理対象デバイスでは片方向に、自動的に変換されます。SSLを無効にする場合、デバイスを手動で再設定する必要があります。

オプション	説明
ポート80接続を有効にする	アプライアンスに対するポート80経由のアクセスを有効にします。 Questでは、エージェントのインストーラからアプライアンスへの接続は、デフォルトではポート80を使用して行われるため、ポート80接続を有効にすることをお勧めします。サーバー設定の取得後はプロトコルが切り替わるため、ポート 443 上の SSL を使用して通信が行われます。ポート 80 接続を無効にする場合は、Questサポートに問い合わせて、SSL を処理するエージェント展開スクリプトを調整してください。
SSLを有効にする	管理対象デバイスが、SSL（HTTPS）を使用してアプライアンスに接続できるようにします。この設定は、非SSLモードのLANにアプライアンスを適切に展開した後で有効にする必要があります。 SSL を有効にするには、8の説明に従って SSL 証明書をロードする必要があります。
SSL v3 の有効化	（SSL を有効にするを選択している場合にのみ表示されます）。管理対象デバイスが SSLv3（古いバージョンの SSL）を使用してアプライアンスに接続できるようにします。SSLv3 に伴う脆弱性のため、エージェント管理対象デバイスがバージョン 6.3 以前の K1000 エージェントを実行している場合にのみ、この設定を有効にする必要があります。新しい K1000 アプライアンスでは、SSLv3 はデフォルトで無効になっています。SSLv3 の脆弱性の詳細については、https://support.quest.com/kb/136510を参照してください。

SSL 証明書をロードするには、次のいずれかを行います。

◦

SSL 証明書フォームをクリックして証明書要求を生成するか、または自己署名証明書をロードします。詳細については、SSL証明書の生成を参照してください。

◦

SSL証明書とプライベートキーがある場合は、SSLプライベートキーファイルまたは SSL証明書ファイルフィールドで参照またはファイルの選択をクリックして、それらを選択します。これらのファイルは、Apache ベースのウェブサーバーで使用されるものと同様、Privacy Enhance Mail（PEM）形式であることが必要です。

◦

SSL 中間証明書を有効にするを選択して、SSL 中間証明書を有効にしてアップロードします。この証明書は、ルート証明書のプロキシとして証明書発行者から提供される署名付き証明書です。SSL 中間証明書は、PEM 形式である必要があります。

◦

証明書が PKCS-12 形式である場合は、PKCS-12 File（PKCS-12 ファイル）で参照またはファイルの選択をクリックしてそれを選択し、Password for PKCS-12 file（PKCS-12 ファイルのパスワード）でファイルのパスワードを入力します。

Secure Attachments in Service Desk（サービスデスクの添付ファイルの保護）セクションで、サービスデスクチケットに添付されたファイルについてセキュリティを追加するかどうかを選択します。

◦

チケットに添付されたファイルについてセキュリティを有効にする場合は、チェックボックスをオンにします。このオプションを選択した場合、ユーザーは K1000 管理者コンソールまたはユーザーコンソール内からのみ、チケットに添付されたファイルにアクセスできます。

◦

ユーザーが管理者コンソールまたはユーザーコンソールの外部からチケットリンクをクリックしてファイルにアクセスできるようにする場合は、チェックボックスをオフにします。

10.

保存してサービスを再起動をクリックして変更を保存し、アプライアンスを再起動します。

注: ポート 443 へのアクセスを有効にしてアプライアンスを再起動した後で、管理者コンソールのログインページが Firefox ブラウザで正しく表示されないことがあります。この問題が発生した場合は、FirefoxブラウザのキャッシュとCookieを削除して、もう一度やり直してください。

シングルサインオン方法としてのActive Directoryの設定

Active Directory シングルサインオンを使用すると、ドメインにログオンしているユーザーが、ログオン資格情報を毎回再入力する必要なく、K1000 管理者コンソールとユーザーコンソールにアクセスできるようになります。

K1000をActive Directoryサーバーに接続する前に、次の点を確認します。

•

K1000アプライアンスがActive Directoryサーバーにアクセスできるように、ネットワークとDNSの設定が構成されている。詳細については、アプライアンスのネットワーク設定の変更を参照してください。

•

Active Directoryサーバーの時刻設定がK1000アプライアンスの時刻設定と一致している。K1000 アプライアンスの時刻設定に関する情報については、アプライアンスの日付と時刻の設定を参照してください。

アプライアンスのコントロールパネルに移動します。

◦

セキュリティ設定ページのシングルサインオンセクションで、Active Directory を選択し、次の情報を入力します。

オプション	説明
ドメイン	Active Directory®サーバーのドメインのホスト名。例: 「example.com」。
ユーザー名	Active Directoryサーバーの管理者アカウントのユーザー名。例: 「username@example.com」。
パスワード	Active Directoryサーバーの管理者アカウントのパスワード。

参加をクリックします。

アプライアンスは、読み取り専用の権限が必要な次のテストを実行し、K1000のドメインへの参加が許可されるよう正確にドメインが設定されているかどうかを確認します。

◦

サポートされているオペレーティングシステムと正しいオペレーティングシステムパッチがあることを確認する

◦

QASをインストールするための十分なディスク領域があることを確認する

◦

システムのホスト名が「localhost」でないことを確認する

◦

ネームサービスがDNSを使用するように設定されているかどうかを確認する

◦

resolv.confにネームサービスエントリの適切なフォーマットがあること、およびホストが解決できることを確認する

◦

Active Directory用の適切なDNS SRVレコードを持つネームサーバーがあることを確認する

◦

UDPポート389が開いている書き込み可能なドメインコントローラーを検出する

◦

Active Directoryサイトを検出する（使用可能な場合）

◦

TCPポート464がKerberos kpasswdに対して開いているかどうかを確認する

◦

UDPポート88およびTCPポート88が、Kerberosトラフィックに対して開いているかどうかを確認する

◦

TCPポート389がLDAPに対して開いているかどうかを確認する

◦

グローバルカタログサーバーがあること、およびTCPポート3268がグローバルカタログサーバーとの通信用に開かれているかどうかを確認する

◦

Active Directoryに対して有効な時間差があることを確認する

◦

Active DirectoryでQASアプリケーション設定を確認する

◦

TCPポート445が、Microsoft CIFSトラフィックに対して開いているかどうかを確認する

これらのテストは書き込み権限を必要としないため、ディレクトリへの書き込み権限の有無を確認しません。また、これらのテストでは、ユーザー名とパスワードの資格情報も確認しません。資格情報が不正確な場合は、テストに成功しても、K1000はドメインに参加できない場合があります。

テストの結果を示すメッセージが表示されます。エラーがある場合、ログをクリックし、ログドロップダウンリストでサーバーエラーを選択して、エラーを表示することができます。

オプション: 強制的に参加を選択し、サーバーを参加させてエラーを無視し、ドメインに参加します。

保存してサービスを再起動をクリックします。

ユーザーが Active Directory ドメインに参加したデバイスにログインすると、資格情報を再入力する必要なく、K1000 ユーザーコンソールにアクセスできます。Active Directoryドメインに参加していないデバイスのユーザーにはログインウィンドウが表示され、ローカルのK1000ユーザーアカウントを使用してログインすることができます。詳細については、システムレベルのユーザーアカウントの追加または編集を参照してください。

注: Internet ExplorerおよびFirefoxのブラウザでシングルサインオンを使用する場合は、ユーザーがブラウザの設定を行い、適切な認証が使用されるようにする必要があります。詳細については、シングルサインオンを使用するためのブラウザの設定を参照してください。

Please select your product:

To serve you better, please complete the Purpose of your Chat:

Recommended Solutions for Your Problem

KACE as a Service 7.1 - Administrator Guide (Japanese)

ローカルルーティングテーブルの設定

ローカルルーティングテーブルの設定

ローカルWebサーバーの設定とホワイトリストのホストの構成

ローカルWebサーバーの設定とホワイトリストのホストの構成

アプライアンスのセキュリティ設定の構成

アプライアンスのセキュリティ設定の構成

シングルサインオン方法としてのActive Directoryの設定

シングルサインオン方法としてのActive Directoryの設定