Security Center:プロキシアクセスの使用

ユースケース

制限事項

プロキシサーバーとして使用できるのは Linux サーバーのみです。

プロキシアクセスを通じて接続されたサーバーは、Security Center のほとんどの機能をサポートしますが、以下の機能はサポートされません。すべての機能の一覧については、「機能と特徴」をご参照ください。

プロキシアクセスではサポートされない Security Center の機能

前提条件

• プロキシサーバーとして使用するために、インターネットにアクセスできる 1 台以上のサーバーを準備し、以下の要件を満たしている必要があります。

  • 十分なネットワーク帯域幅を確保してください。接続されるサーバー 1 台につき 10 Kbit/s の帯域幅が必要です。たとえば、50 台のサーバーを接続する場合、プロキシサーバーで 500 Kbit/s の帯域幅を確保する必要があります。

  • プロキシサーバーで、ホストまたはコンテナからの接続用にポート 80、443、および 8080 が開いている必要があります。

• 複数のサーバーをプロキシとして使用する場合は、ドメイン名アクセスを使用してください。プロキシサーバー用のドメイン名があり、プロキシサーバーの IP アドレス、負荷分散 IP、または仮想 IP アドレス (VIP) に解決されることを確認してください。

• ハイブリッドクラウドシナリオの場合、サードパーティクラウドサーバーと Alibaba Cloud VPC 間のネットワーク接続を確立します。

ステップ 1：プロキシクラスターの作成

1. Security Center コンソールにログインします。

   • 左側のナビゲーションペインで、システム設定 > 機能の設定 を選択します。コンソールの左上隅で、保護対象資産のリージョンとして 中国本土 または 中国本土以外 を選択します。

2. クライアント > プロキシのアクセス タブで、クラスターの新規作成 をクリックします。

3. クラスターの新規作成 ダイアログボックスで、クラスター名、通信アドレス、説明を設定し、OK をクリックします。

   • [連絡先アドレス]: プロキシサーバーの IP アドレスまたはドメイン名を入力します。 クラスターの作成後、クラスター内のホストまたはコンテナは、この連絡先アドレスを使用してプロキシサーバーに接続します。

   • 連絡先アドレス をプロキシサーバーの IP アドレスに設定した場合、設定できるプロキシサーバーは 1 つだけです。 この方法は、少数のホストまたはコンテナ (例: 5) を接続する場合に使用します。

   • 複数のプロキシサーバーを設定するには、連絡先アドレス としてドメイン名を使用し、そのドメイン名がプロキシサーバーの IP アドレス、ロードバランシング IP、または仮想 IP アドレス (VIP) に解決されるようにします。

   • クラスター作成後、クラスター名と通信アドレスは変更できません。わかりやすいクラスター名と接続可能な通信アドレスを入力してください。

ステップ 2：プロキシサーバーのデプロイ

1. クライアント > プロキシのアクセス タブで、対象のクラスターの 操作する 列の プロキシのデプロイ をクリックします。

2. プロキシサーバーのデプロイ パネルで、デプロイモードを選択し、設定を完了します。

   プロキシサーバーに Security Center エージェントが既にインストールされてオンラインになっている場合は、クイックデプロイを選択してください。プロキシサーバーに Security Center エージェントがインストールされていない場合は、手動デプロイを使用してください。

   • [クイックデプロイ]

     クイックデプロイ を選択すると、資産リストからプロキシサーバーとして使用する Linux サーバーを選択し、OK をクリックします。

   • [手動デプロイ]

     手動のデプロイ を選択した場合は、ページから手動デプロイコマンドをコピーし、管理者としてプロキシサーバーにログインし、コマンドを実行します。

   デプロイから約 5 分後、クライアント > プロキシのアクセス タブでプロキシサーバーのオンラインステータスを表示できます。

   プロキシサーバーをデプロイした後、Security Center エージェントがインストールされていない場合、サーバーはプロキシ機能のみとなり、脆弱性検出やベースラインチェックなどのセキュリティ機能は使用できません。プロキシサーバーを保護するには、Security Center エージェントをインストールしてください。詳細については、「Security Center エージェントのインストール」をご参照ください。

ステップ 3：サーバーをプロキシクラスターに接続

クラスターを作成し、プロキシサーバーをデプロイした後、サーバーをクライアントとしてプロキシクラスターに追加し、プロキシアクセスを通じて Security Center に接続します。

1. クライアント > プロキシのアクセス タブで、対象のクラスターの 操作する 列にある クライアントにアクセスする をクリックします。

2. クライアントにアクセスする パネルで、アクセスモードを選択し、設定を完了します。

   サーバーに Security Center エージェントが既にインストールされてオンラインになっている場合は、サーバーを直接選択してください。サーバーに Security Center エージェントがインストールされていない場合は、インストールコマンドを使用してください。

   • [サーバーを直接選択]

     アセットリストで、接続するサーバーを選択し、OK をクリックします。

   • [インストールコマンドの使用]

     1. [インストールコマンドの生成] に移動する をクリックします。

     2. クライアント > インストールコマンド タブで、インストールコマンドの追加 をクリックします。

     3. インストールコマンドの追加 ダイアログボックスで、パラメーターを設定し、OK をクリックします。

        パラメータ	説明
        [有効期限]	インストールコマンドの有効期限。
        [サービスプロバイダー]	サーバーのサービスプロバイダー。
        [デフォルトグループ]	Security Center のホスト資産リストにおけるサーバーのグループ。
        [OS]	サーバーのオペレーティングシステム。
        [イメージシステムの作成]	サーバーのイメージを作成するかどうかを指定します。デフォルトオプションのままにしてください。
        [プロキシの選択]	自作のプロキシクラスター を選択し、次に接続するプロキシクラスターを選択します。

     4. インストールコマンドリストで、生成されたコマンドの プロキシのアクセス フィールドに選択したプロキシクラスター名が表示されていることを確認し、コマンドエリアの右上隅にあるコピーアイコンをクリックします。

     5. 接続するサーバーに管理者としてログオンし、オペレーティングシステムに基づいてインストールコマンドを実行します。

インストールから約 5 分後、プロキシクラスターの 接続済みのクライアント 列の数字をクリックすると、プロキシ経由で接続されているサーバーのリストを表示できます。

(オプション) ステップ 4：プロキシクラスターポリシーの設定

デフォルトでは、プロキシサーバーによって収集されたデータは、帯域幅や頻度の制限なく Security Center に送信されます。データ転送モードの変更や、帯域幅と頻度の制限を設定するには、次の手順に従ってください。

1. クライアント > プロキシのアクセス タブで、対象のクラスターの 操作する 列で、プロキシ設定 をクリックします。

2. プロキシ設定 ダイアログボックスで設定を行い、OK をクリックします。

   データ伝送モードは、管理センターへのバックフロー と バックフローせずに指定されたディレクトリにキャッシュする に対応しています。

   転送モード	説明
   管理センターへのバックフロー	リスクと脅威を検出するために Security Center にデータを送信します。プロキシサーバーと Security Center 間の通信の帯域幅と頻度は手動で設定できます。オプション: [無制限]: 帯域幅や頻度の制限はありません。[カスタム]: カスタムの帯域幅と頻度の制限を設定します。帯域幅の使用量と通信プロセスを合計リソースの 60% 未満に抑えてください。
   バックフローせずに指定されたディレクトリにキャッシュする	ビジネスネットワーク (オンプレミス IDC、VPC など) 内で指定されたデータタイプのリスクや脅威を検出します。ログはデフォルトでプロキシサーバーの /usr/local/aegis/proxy/log/export.log に保存されます。キャッシュディレクトリは変更できます。キャッシュディレクトリは最大 10 GB まで対応します。ストレージが 10 GB を超えると、システムは最も古いログから順に上書きします。

関連操作

よくある質問