Deep Security Manager AMIのアップグレード

開始前の準備

• データベースの最近のバックアップがあります (Amazon RDS DB インスタンスのバックアップと復元を参照)。アップグレード中に重大な障害が発生した場合、バックアップなしでは復旧手段がない可能性があります。
• Deep Security ManagerインスタンスがElastic Load Balancer (ELB) の背後に配置されているか、Elastic IPを使用している。
• Your Deep Security Managerバージョン:
  • Deep Security Managerコンソールを開き、右上隅にある[サポート > バージョン情報]をクリックします。
• お使いのDeep Security ManagerのOSは、Amazon LinuxまたはAmazon Linux 2です。
  • Deep Security Managerコンソールで、[[管理]→[システム情報]]に移動します。
  • [システムの詳細]の下で、各[Managerノード]を展開し、[環境 > プラットフォーム]に移動します。プラットフォームの値の一部としてamzn2文字列が表示される場合 (例: Linux 4.14.186-146.268.amzn2.x86_64)、Deep Security ManagerはAmazon Linux 2で実行されています。Linux 4.14.181-108.257.amzn1.x86_64または類似のものが表示される場合、Deep Security ManagerはAmazon Linuxで実行されています。
    コマンドラインを使用してプラットフォームを確認するには、各Deep Security ManagerノードにSSHで接続し、uname -rコマンドを実行して、返された文字列を調べます。

希望するアップグレード方法を選択します

ワンクリックアップグレードを実行する

手動アップグレードの実行

1. 元々CloudFormationを使用してデプロイした場合、現在の各Deep Security Managerインスタンスに対して次の設定方法に注意してください。
   • インスタンスの種類
   • VPC
   • サブネット
   • IAM 役割
   • セキュリティグループ
   • キーペア名
   手動アップグレードを実行すると、スタック内のAMI IDは、CloudFormationテンプレートの一部として最初にデプロイされたものとは異なります。手動でデプロイされたインスタンスは元のスタックの一部ではなく、スタックを削除しても削除されません。ただし、インスタンスを手動で削除することはできます。
2. AWSマネジメントコンソールでインスタンスを右クリックし、[インスタンスの状態 > 停止] を選択して、すべてのDeep Security Managerインスタンスを停止します。
3. 現在使用している請求モデルと同じモデルで、AWS Marketplaceから最新バージョンを使用してDeep Security Managerの新しいインスタンスをデプロイしてください。
   CloudFormationを使用して最初にデプロイした場合は、手順1で記録した設定を適用し、新しいインスタンスをデプロイする際に[パブリックIPの自動割り当て]を選択してください。
4. インスタンスが実行中の場合、[https://ip:8080]に移動し、インスタンスIDを入力して、[サインイン]をクリックします。
   新しいインスタンスのセキュリティグループが接続のためにポート8080を受け入れるようにインバウンドルールを設定してください。元々CloudFormationを使用してデプロイした場合、インスタンスのセキュリティグループのインバウンドルールに8080を追加する必要があります。手順については、AWSドキュメントを参照してください。
5. 使用許諾契約書タブで、使用許諾契約書の条件を読み、同意したら[次へ]をクリックしてください。
6. データベースタブで、既存のDeep Securityデータベースの構成パラメータを入力し、次へをクリックします。次の点に注意してください:
   • CloudFormationを使用してデプロイした場合、デフォルトのデータベース名は「dsm」です。
   • 従量課金の請求を使用している場合、デフォルトのデータベースユーザー名は「dsmadmin」であり、データベースパスワードは環境を展開する際に指定されたDeep Security Managerコンソールのパスワードと同じです。
   • 独自ライセンス課金を使用している場合、データベースのユーザー名とパスワードは、環境をデプロイする際に作成したものです。
   • リレーショナルデータベースサービス (RDS) エンドポイントを見つけるには、AWS CloudFormationコンソールで現在のRDSを探します。RDSを作成するためのネストされたスタック名は[Your stack name]-MasterMP-[Random string]-DSDatabaseAbstract-[Random string]-DS[DB type]RDS-[Random string]です。AWS CloudFormationコンソールの[リソース]タブにRDSコンソールへのリンクがあります。
7. [以前のバージョンチェック]タブで[アップグレード]をクリックし、次に[次へ]をクリックします。
8. [アドレス]タブと[ポート]タブで、Deep Security Managerがインストールされているコンピュータのホスト名またはIPアドレスを入力し、[次へ]をクリックします。
   マネージャアドレスは、解決可能なホスト名、完全修飾ドメイン名、またはIPアドレスでなければなりません。環境でDNSが利用できない場合や、一部のコンピュータがDNSを使用できない場合は、ホスト名の代わりに固定IPアドレスを使用する必要があります。デフォルトのポート番号も変更できます。
9. [資格情報]タブで、[次へ]をクリックします。
   既存の資格情報がそのまま使用されます。
10. [設定を確認] タブでインストールの設定が正しいことを確認して、[インストール] をクリックします。
    Deep Securityの [ステータス] 画面に、Deep Security Managerがインストール中であることが表示されます。
11. Elastic Load Balancing (ELB) を使用している場合は、新しいDeep Security ManagerインスタンスをELBリストに追加してください。また、リレーもリストに追加してください。
    元々CloudFormationを使用してデプロイした場合、ELB名はAWS CloudFormationコンソールで確認できます。ネストされたスタック名は[Your stack name]-marketplace-MasterMP-[Random string]-DSIELB-[Random string]です。ELBコンソールへのリンクはAWS CloudFormationコンソールの[リソース]タブで確認できます。
12. Deep Security Managerにログインし、[コンピュータ]タブに移動します。古いDeep Security Managerのインストールの一部として追加されたDeep Securityリレーを削除します。
13. 以前のManagerノードを削除します。Deep Security Managerの [管理] タブに移動して、左側のナビゲーションメニューで [Managerのノード] を選択し、以前のManagerノード (ステータス: 「オフライン (アップグレードが必要)」) ごとに [のプロパティ] 画面を開いて [廃止] をクリックします。
14. 新規に追加したDeep Security Managerコンピュータオブジェクトをダブルクリックし、有効化されていること、および正しいポリシーが割り当てられていることを確認します。
15. 古いDeep Security Managerインスタンスを削除するには、AWSコンソールでインスタンスを右クリックし、[インスタンスの状態 > 終了]を選択してください。また、ELBを使用している場合は、古いインスタンスをELBから削除してください。

マルチテナントアップグレードを実行する

アップグレード後のタスク

• サーバ証明書の置き換え: アップグレード後、Deep Security Managerのサーバ証明書は保持されますが、新規インストールを行った場合は除きます。証明書がSHA-1のような弱い暗号アルゴリズムで作成された場合は、証明書の置き換えを検討してください。より強力な暗号化を使用することで、最新の標準に準拠し、最新のエクスプロイトや攻撃に対するより良い保護を提供します。Deep Security Manager TLS証明書の置き換えを参照してください。