Endpunkte

Netzwerkanforderungen

Hinweis Port 443 wird bereits für SDK-Scan-Clients benötigt. Weitere Informationen finden Sie unter Regeln für eingehende und ausgehende Verbindungen der File Security Virtual Appliance. Wenn Sie zuvor 443 nur für Ihre SDK-Client-CIDRs geöffnet haben, erweitern Sie die Quelle, um die Vscan-Server-IP einzuschließen.

TLS-Zertifikat-Einrichtung (selbstsigniert)

1. Erstellen Sie ein selbstsigniertes Serverzertifikat (CN + SAN).
   Auf jedem Rechner mit openssl ausführen. Ersetzen Sie die IP durch die IP Ihrer Instanz und passen Sie den DNS SAN an, wenn Clients über den Hostnamen verbinden:

   openssl req -x509 -newkey rsa:4096 -sha256 -days 3650 -nodes \
     -keyout mysg.key -out mysg.pem -subj "/CN=*.sgi.visionone.trendmicro.com" \
     -addext "subjectAltName=DNS:*.sgi.visionone.trendmicro.com,IP:172.31.91.108"
   # Bundle key + cert into one PEM (this is what the SG import expects)
   cat mysg.key >> mysg.pem

2. Importieren Sie das Zertifikat in die Service-Gateway-Instanz.
   Gehen Sie in der TrendAI Vision One™ Konsole zu Service Gateway Management → wählen Sie Ihr SG-Gerät aus → Einstellungen, und laden Sie mysg.pem (den kombinierten Schlüssel+Zertifikat) als Serverzertifikat hoch. Weitere Informationen finden Sie unter Service-Gateway-Einstellungen konfigurieren.
3. Importieren Sie das Zertifikat auf einem Windows-Client (systemweite Vertrauensstellung).
   Kopieren Sie mysg.pem auf den Windows-Client (zum Beispiel nach C:\certs\), und vertrauen Sie ihm im Windows-Zertifikatspeicher, damit jeder Client (einschließlich tmfs-cli) ihn übernimmt:

   1. Umbenennen/kopieren mysg.pem → mysg.crt und entweder:
      • Verwenden Sie die GUI:
        Doppelklicken Sie auf mysg.crt → Install Certificate → Lokaler Computer → Place all certificates in the following store → Trusted Root Certification Authorities
      • Verwenden Sie PowerShell (als Administrator ausführen):
        Import-Certificate -FilePath C:\certs\mysg.crt -CertStoreLocation Cert:\LocalMachine\Root

        Hinweis Das PEM-Bundle aus Schritt 1 enthält auch den privaten Schlüssel. Für den Client-Truststore benötigen Sie nur das öffentliche Zertifikat — entweder importieren Sie das .crt wie oben (Windows ignoriert den Schlüsselteil beim Import), oder entfernen Sie zuerst den Schlüssel, indem Sie nur den -----BEGIN CERTIFICATE----- … -----END CERTIFICATE------Block in mysg.crt kopieren.

Testen Sie die Endpunkte

websocat --exit-on-eof wss://<instance IP>/ontap

tmfs scan file:<sample-file> --endpoint=<instance IP>

Erstellen Sie ein Onboarding-Token für den ONTAP-Agenten

1. Melden Sie sich bei der Service-Gateway-Instanz als sgowner an
2. Finden Sie den Management-Service-Container. Alle FSVA-Container laufen in einem einzigen Pod unter dem sg-sfs-scanner-Namespace. Ermitteln Sie den aktuellen Pod-Namen:

   kubectl get pods -n sg-sfs-scanner

   Für weitere kubectl-Operationen an der Service-Gateway-Instanz, siehe KA-0014380.
3. In den Verwaltungsdienst-Container einsteigen:

   kubectl exec -it <pod-name> -n sg-sfs-scanner -c sg-sfs-scanner-management-service -- bash

   Beispiel:

   kubectl exec -it sg-sfs-scanner-6db74d58c-47g5p -n sg-sfs-scanner -c sg-sfs-scanner-management-service -- bash

4. Erstellen Sie einen Agenten-Slot und geben Sie ein Onboarding-Token aus:

   clish agent create --name <agent-name>
   clish agent onboarding-token issue --instance <agent-name>

ONTAP-Agent installieren

• Laden Sie den ONTAP-Agent-Installer (MSI) herunter.
• Auf dem Windows Vscan-Server installieren.
• Konfigurieren Sie den ONTAP-Agenten mit:
  • Generiertes Onboarding-Token
  • Scanner-Dienst-Endpunkt: <instance IP>
  • Management Service Endpunkt: <instance IP>/ontap

Konfigurieren Sie den ONTAP-Agenten mit dem Management Service

1. In den Verwaltungsdienst-Container einsteigen.
2. Überprüfen Sie den Verbindungsstatus des Agents:

   clish agent show --instance <agent-name>

3. Privilegierte Benutzeranmeldedaten konfigurieren:

   clish agent credential modify --instance <agent-name>

Verifizierung