- Step 1vShield Manager の構築
- Step 2vShield Endpoint のインストール
- Step 3vShield 用ドライバ (VMware Tools) のインストール
- Step 4vCenter Server および vShield Manager の登録
- Step 5Filter Driver のインストール (バージョン 9.5 以下の場合のみ)
- Step 6DSVA の配信
- Step 7DSVA の設定変更と有効化
- Step 8(オプション) Deep Security Notifier のインストール
Step 1, 2, 3 は不正プログラム対策または変更監視機能を使用する場合に必須になります。また、バージョン 9.6 以降では、VMware 社による VMsafe API のサポート終了のため Filter Driver が存在しません (DSVA 9.6 以降ではファイアウォール/侵入防御/Web レピュテーション機能を使用することはできません)。そのため、Step 5 はスキップしてください。
ヒント
本製品 Q&A では、vShield 環境でのインストール手順を記載しています。インストールガイドもあわせてご参照ください。NSX 環境における DSVA?のインストール手順は対象外となります。また、DSVA のアップグレード手順については、以下製品 Q&A をご覧ください。
?
Step 1 vShield Manager の構築
vShield Manager のイメージファイル を展開する
- vSphere Client で vCenter または ESXi にログインし、[ファイル] → [OVF テンプレートのデプロイ]を実行します。
- 「ソース」選択画面が表示されます。ダウンロードしておいた vShield Manager のイメージファイルを指定して「次へ」をクリックします。
- 「OVF テンプレートの詳細」画面が表示されます。そのまま「次へ」をクリックします。
- 「エンドユーザ使用許諾契約書」画面が表示されます。「次へ」をクリックします。
- 「名前と場所」画面が表示されます。vShield Manager の名前とイメージファイルを展開する ESXi サーバを選択します。
- 「ディスクのフォーマット」画面が表示されます。「シン プロビジョニング フォーマット」を選択して「次へ」をクリックします。
- 「終了準備の完了」画面が表示されます。「終了」をクリックします。イメージファイルが展開され vShield Manager が ESXi に登録されます。
※ 詳細につきましては、VMware 社のマニュアル等も併せて参照してください。
vShield Manager コンソールから IP アドレスを設定する
- 仮想マシンとして登録された vShield Manager を起動します。
- vShield Manager のコンソール画面を開き、[Manager login] が表示されるのを待ちます。表示されたら、[ログイン名:admin][パスワード:default] を入力します。
- ログイン後、プロンプトが [Manager>] と表示されますので、enable コマンドを実行します。再びパスワードを求められますので、[パスワード:default] を入力します。
- プロンプトが [Manager#] に切り替わります。[setup] コマンドを実行します。
- IP アドレス、デフォルトゲートウェイ、DNS サーバ、DNS search list を入力します。
vShield Manager Web コンソールから vCenter に登録
- vShield Manager に割り振った IP アドレスに対し https 接続が可能な端末でブラウザを起動します (例:https://[vShield Manager のアドレス]/)。
- vShield Manager への接続後、[ユーザ名:admin] [パスワード:default] を入力し、ログインします。
- ログイン後、トップ画面の中央にある [vCenter Server information] の中に vCenter のログインユーザ・パスワードを入力してください。
- vCenter に正常に接続が行われると、画面左ペインに vCenter に登録されているホストや仮想マシンのインベントリのツリー情報が表示されます。
実施後チェックリスト
- □vShield Manager にログオンできる
- □vCenter Server に接続ができており、左メニューにインベントリのツリー情報が表示されている
Step 2 vShield Endpoint のインストール
- vCenter への登録後、ESXi に vShield Endpoint をインストールして不正プログラム対策が利用できるようにします。画面左ペインのツリー上を展開し、対象の ESXi ホストをクリックします。その後、[Summary] タブの中にある [vShield Endpoint] の [Install] をクリックします。インストールが完了すると、以下のように [Uninstall] ボタンが表示されます。
- インストール後、[Summary] タブの隣にある [Endpoint] タブをクリックします。Endpoint Status の「Normal」欄に Host Events がカウントされていることを確認します。
実施後チェックリスト
- □vShield Manager 上で、対象の ESXi の Summary タブの “vShield Endpoint” の “Installed“ 欄にビルド番号が記載されている
- □vShield Manager 上で、対象の ESXi の Endpoint タブの "Endpoint Status" の「Normal」に Host Events がカウントされている
Step 3 vShield 用ドライバ (VMware Tools) のインストール
ドライバの名称は ESXi のバージョンによって異なります。これらの名称は、今後予告なく変更される可能性があります。インストールすべきドライバの名称が不明な場合、VMware Tools の全てのコンポーネントをインストールするか、VMware 社サポートにお問い合わせください。
-
- ESXi 5.5 u2 よりも前 : 「vShield ドライバ (vShield Endpoint Thin Agent)」
- ESXi 5.5 u2 以降 : 「Guest Introspection ドライバ (Guest Introspection Thin Agent)」
- ESXi 6.0 Patch 1 (ESXi-6.0.0-20150704001-standard) 以降 : 「NSX File Introspection Driver」
※ ESXi 6.0 Patch 1 以降の場合、「NSX Network Introspection Driver」も選択することができますが、これは DSVA による保護では使用しませんので、インストールする必要はありません。
- DSVA による不正プログラム対策・変更監視を実行したい仮想マシン上で、VMware Tools のインストーラを実行します。
- VMware Tools のインストールウィザードが表示されます。セットアップ タイプの画面が表示されたら、[完了] または、[カスタム] を選択します。
- [完了] を選択した場合は自動的に vShield 用ドライバがインストールされますので、そのままインストールの実行まで進めてください。[カスタム] を選択した場合は、カスタム セットアップの画面で、[VMCI ドライバ] のツリー内にあるドライバ のインストールを選択してください (ドライバの名称は上記のとおり ESXi のバージョン・ビルドによって異なります)。
- インストール後、仮想マシンの再起動を行います。
Step 4 vCenter Server および vShield Manager の登録
- Deep Security Manager (以下、DSM) 管理コンソールにログインし、[コンピュータ]?→?「コンピュータ」を右クリック → 「VMware vCenter の追加」をクリックし、vCenter Server および vShield Manager を登録します。登録が完了すると、vCenter で管理されている仮想マシンが DSM 上に表示されます。
- DSM 管理コンソールにログインし、[管理] → [アップデート] → [ソフトウェアのアップデート] タブを選択し、ソフトウェアパッケージ欄に Filter Driver (DSVA 9.5 以下を使用する場合のみ) および Appliance のパッケージが登録されていることを確認します。登録されていない場合、最新版ダウンロードページからソフトウェアをダウンロードし、「ソフトウェアのインポート」からインポートを行います。
実施後チェックリスト
- □DSM のコンピュータ画面に登録・同期した vCenter Server が管理している ESXi や仮想マシンの情報が表示されている
- □システムイベントに「ID 364 : VMware vCenterとの同期の完了」イベントが記録されている
- □DSM から vCenter Server/vShield Manager の 443 番ポートに通信できる
- □ESXi にインストール/配信する Filter Driver と DSVA を DSM にインポートしている
Step 5 Filter Driver のインストール (バージョン 9.5 以下の場合のみ)
Filter Driver がインストールされていない ESXi はステータスが「準備が未完了」になっています (Filter Driver のインストールが完了すると、「準備完了」になります。DS 9.6 以降の場合は、DSVA を配信後、有効化が完了したタイミングで対象 ESXi のステータスが「管理対象」になります)。不正プログラム対策、変更監視機能を使用する場合は、vShield Endpoint のステータスが「インストールされています」となっていることを確認してください。
また、DSVAを導入するESXホストには、DSVAと同一パッチレベルのFilter Driverをインストールする必要があり、いずれも各バージョンの最新のビルドをダウンロードセンターより入手してインストールすることを推奨します。
- DSM 管理コンソールの [コンピュータ] 画面から Filter Driver をインストールしたい ESXi サーバを選択し、右クリックのメニューで [処理] → [ESXiの準備...] をクリックします。
- 「次へ>」をクリックします。
- ESXi をメンテナンスモードにする処理や再起動処理を DSM で自動的に実行するか、をきかれるため「はい」を選択し「完了」をクリックします。
- Filter Driver のインストールが完了すると、以下画面が表示されます。また、ESXi のステータスが「準備完了」になります。?そのまま DSVA を配信する場合は、「Deep Security Virtual Applianceを今すぐ配置します。」を選択し「次へ>」をクリックします。
実施後チェックリスト
- □DSM のコンピュータ一覧画面にて対象の ESXi のステータスが「準備完了」となっており、「Filter Driverのバージョン」に正しくバージョン情報が記載されている
Step 6 DSVA の配信
ヒント
Deep Security 9.6 から「Agentレスによるセキュリティの配信」ウィザードが導入されました。これは、旧バージョンで行っていた「Filter Driver のインストール (ESXi の準備)」および「DSVA の配置 (Appliance の配置)」が 1 つのウィザードに統合された、というイメージです。DSVA を配置する ESXi のバージョン (6.0 or 5.x) にあわせて、本ウィザードで実行できる処理の内容が異なります。
-
-
- ESXi 6.0 : DSVA の配置のみ
- ESXi 5.x : DSVA の配置および (または) Filter Driver のインストール
-
DSM/DSVA 9.5 以下
- DSM 管理コンソールの [コンピュータ] 画面から DSVA を配信したい ESXi サーバを選択し、右クリックのメニューで [処理] → [Applianceの配置...] を実行します (Filter Driver のインストール後に「今すぐ配置します。」を選択した場合は不要です)。
- 「次へ>」をクリックします。
事前に、配信する DSVA のパッケージを DSM にインポートしておく必要があります。インポートが完了していない場合、以下のようなメッセージが表示されます。
- 配置する DSVA の Appliance 名を入力し、データストア・フォルダ・管理ネットワークを選択します。
- Appliance のホスト名とネットワーク情報を設定します。
- 仮想ディスクの形式に「シックプロビジョニング形式」を選択し、「完了」をクリックします。DSVA の配信処理が実行されます。
- 配信処理が完了すると、以下画面が表示されます。「いいえ、後で有効化します。」を選択し、「次へ>」をクリックします。
- DSM のコンピュータ一覧に DSVA が追加されていることを確認します。
DSM/DSVA 9.6 以降 (ESXi 6.0)
- DSM 管理コンソールの [コンピュータ] 画面から DSVA を配信したい ESXi サーバを選択し、右クリックのメニューで [処理] > [Agentレスによるセキュリティの配信...] を実行します。
- 「Agentレスによるセキュリティの配信」ウィザードが表示されます。「次へ>」をクリックします。
事前に、配信する DSVA のパッケージを DSM にインポートしておく必要があります。
- 配置する DSVA の Appliance 名を入力し、データストア・フォルダ・管理ネットワークを選択します。
- Appliance のホスト名とネットワーク情報を設定します。
- 仮想ディスクの形式に「シックプロビジョニング形式」を選択し、「次へ>」をクリックします。
- 以下画面が表示されます。「完了」をクリックすると、DSVA の配信処理が実行されます。
- 配信処理が完了すると、以下画面が表示されます。「いいえ、後で有効化します。」を選択し、「次へ>」をクリックします。
- DSM のコンピュータ一覧に DSVA が追加されていることを確認します。
DSM 9.6 以降 / DSVA 9.0/9.5 or 9.6 (ESXi 5.x)
- DSM 管理コンソールの [コンピュータ] 画面から DSVA を配信したい ESXi サーバを選択し、右クリックのメニューで [処理] > [Agentレスによるセキュリティの配信...] を実行します。
- 「Agentレスによるセキュリティの配信」ウィザードが表示されます。「次へ>」をクリックします。
事前に、配信する DSVA のパッケージを DSM にインポートしておく必要があります。
- 処理を選択する画面が表示されます。DSVA 9.0/9.5 を使用する場合は両方のチェックを、DSVA 9.6 を使用する場合は 1 つ目のチェックのみを有効にします (Filter Driver はインストールしないでください)。
- (Filter Driver のインストールにチェックを入れた場合) ESXi をメンテナンスモードにする処理や再起動処理を DSM で自動的に実行するか、をきかれるため「はい」を選択し「次へ>」をクリックします。
- 配置する DSVA の Appliance 名を入力し、データストア・フォルダ・管理ネットワークを選択します。
- Appliance のホスト名とネットワーク情報を設定します。
- 仮想ディスクの形式に「シックプロビジョニング形式」を選択し、「次へ>」をクリックします。
- 選択した処理に応じて、以下のどちらかの画面が表示されます。「完了」をクリックすると、(Filter Driver のインストールおよび) DSVA の配信処理が実行されます。
- 配信処理が完了すると、以下画面が表示されます。「いいえ、後で有効化します。」を選択し、「次へ>」をクリックします。
- DSM のコンピュータ一覧に DSVA が追加されていることを確認します。
実施後チェックリスト
- □DSM のコンピュータ一覧画面に配信した DSVA が表示されている
ヒント
バージョン 9.0 以下の場合、配信された DSVA の初期設定のメモリサイズは 2 GB となります。インストール完了後、vSphere Client の仮想マシン設定の編集から、メモリのサイズを 4 GB 以上に変更してください。
Step 7 DSVA の設定変更と有効化
DSVA のタイムゾーンの設定 (バージョン 9.0 以下)
- vSphere Client から DSVA コンソールに接続します。
- 「F2」を入力して DSVA コンソールにログインします (初期ユーザ/パスワード : dsva/dsva)。
- Configure Time Zone で「Asia/Tokyo」を設定します。
- ログアウトし、時間が日本時間となっていることを確認してください。
DSVA のタイムゾーンの設定 (バージョン 9.5、9.6)
- vSphere Client で DSVA コンソールに接続します。
- Alt?+ F4 を入力して DSVA の CLI にログインします (初期ユーザ/パスワード : dsva/dsva)。
- date コマンドで現在の時刻およびタイムゾーンを確認します。
- 以下コマンドで現在のタイムゾーン設定をバックアップします (パスワード : dsva)。
sudo cp /etc/localtime /etc/localtime-old
- (オプション) 以下コマンドで、設定可能なタイムゾーンを確認します。
ls /usr/share/zoneinfo
- 以下コマンドで、タイムゾーンを変更します。
sudo cp /usr/share/zoneinfo/Asia/Tokyo /etc/localtime
- date コマンドで、タイムゾーンが変更されていることを確認します。
DSVA の有効化
- DSM?管理コンソールの [コンピュータ] 画面から DSVA を選択し、右クリックのメニューで [処理] → [Applianceの有効化...] を実行します。
- 「次へ>」をクリックします。
- ポリシーを選択し、「次へ>」をクリックします。
- 「ホスト仮想マシンの有効化:」画面が表示されます。「いいえ、後で有効化します。」を選択し「完了」をクリックします (このタイミングで仮想マシンを有効化しても特に問題はありません)。
- DSVA 有効化後、vShield Endpoint のステータスが「登録されています」となっていることを確認してください。DSVA 9.5 以降では、有効化時にインポートされている最新の RHEL 6 (x64) 用 DSA Linux ソフトウェアパッケージによって DSVA のアップグレードが行われ、Appliance のバージョンが該当のビルドになります (管理コンソールの [管理] > [システム設定] > [アップデート] > 「Virtual Applianceのバージョン管理」にて、有効化時に使用するビルドを選択することも可能です)。
vShield Manager から全てのコンポーネントが正常稼動しているか確認 (不正プログラム対策、変更監視の機能を使用する場合のみ)
- vShield Manager の Web コンソールにアクセスします (https://[vShield Manager のアドレス/])。
- 接続後、[ユーザ名:admin] [パスワード:default] を入力し、ログインします。
- 画面左のインベントリのツリー情報内にある、DSVA を配信した ESXi ホストをクリックし、[Endpoint] タブをクリックします。
- ESXi ホスト (Host)、DSVA (Secured VM) および保護対象仮想マシン (vShield VM)?のステータスがすべて「Normal」であることを確認します。
各仮想マシンの有効化手順
- DSM 管理コンソールの [コンピュータ] 画面から有効化する仮想マシンを選択します。
- 右クリックのメニューで [処理] → [有効化/再有効化] を実行します。
- 有効化完了後、ステータスが「管理対象 (オンライン)」になっていることを確認します。
実施後チェックリスト
- □DSM 上で DSVA および保護対象仮想マシンのステータスが「管理対象 (オンライン)」になっている
- □DSVA のコンソールでタイムゾーンが JST になっている
Step 8 (オプション) Deep Security Notifier のインストール
VMCI を有効化する (バージョン 9.0 以降では不要)
- vSphere Client にて、不正プログラム対策機能を実行したい仮想マシンが登録されているvCenter に接続します。
- vCenter 接続後、該当の仮想マシンを右クリックし、[設定の編集] を選択します。
- 仮想マシンのプロパティ画面内の [ハードウェア] タブ内の、[VMCI デバイス] を選択します。[仮想マシン間でVMCI を有効化] にチェックを入れ、設定を保存します。
Deep Security Notifier のインストール
- Deep Security Notifier をインストールする仮想マシンにログインし、Notifier のインストーラーを実行します。
- インストールウィザードに従い、インストールを行います。
- インストール後、タスクバーに Notifier のアイコンが存在することを確認します。
<Welcome Pageをご活用ください!>
サポートエンジニアが問い合わせ傾向を元にDeep Securityを安心してお使いいただくための情報をWelcome Page(DS/C1WS)にまとめました。
Welcome Page(DS/C1WS)で機能概要や、事前準備から運用開始までに必要なステップ、運用のコツをぜひご確認ください!