ビュー:
TrendAI Vision One™ File Securityコンテナ化された検索ツールは、NetApp ONTAPと連携してSMB/CIFS共有でアクセスされたファイルを検索するために使用できます。
fs-ONTAPP-architecture=f17e7ac2-76e6-486a-ae50-1900c0454a50.png

前提条件 親トピック

次の要件が必要です。
  • 構成されたSVMを持つ動作中のONTAPクラスタ。
  • Windows Vscanサーバ。
  • スキャナーサービスを備えたKubernetesクラスター。適切な機能フラグでONTAPエージェント管理が有効になっていることを確認してください。詳細については、コンテナ化されたスキャナーをデプロイするを参照してください。
  • すべてのコンポーネント間のネットワーク接続。

NetApp ONTAPを構成する 親トピック

手順

  1. ONTAP管理コンソールでVscanを有効にする:
    1. スキャナプールを作成する:
      vserver vscan scanner-pool create -vserver <svm_name> -scanner-pool <pool_name> -hostnames <vscan_server_hostname> -privileged-users <domain\user>
      詳細については、vserver vscan scanner-pool createを参照してください。
    2. スキャナプールにポリシーを適用する:
      vserver vscan scanner-pool apply-policy -vserver <svm_name> -scanner-pool <pool_name> -scanner-policy primary
      詳細については、vserver vscan scanner-pool apply-policyを参照してください。
    3. SVMでVscanを有効にする:
      vserver vscan enable -vserver <svm_name>
  2. NetApp ONTAP AV-Connectorをインストール:
    1. NetAppのウェブサイトからNetApp ONTAP AV-Connectorをダウンロードしてください。
    2. Windows Vscanサーバにコネクタをインストールしてください。
    3. 次の設定でコネクタを構成してください:
      • ONTAP管理LIFまたはデータLIF (SVMs) IPアドレス
      • ONTAPアクセスに適した認証情報

ONTAPエージェントサポートのためのコンテナ化スキャナーを構成する 親トピック

手順

  1. values.yamlファイルを使用してManagement Serviceのためにontap-エージェントプラグインを有効にします。
    visiononeFilesecurity:
  management:
    plugins:
      - name: ontap-agent
        enabled: true
        configMapName: ontap-agent-config
        securitySecretName: ontap-agent-security
        jwtSecretName: ontap-agent-jwt
  2. データベースストレージを設定する。
    • EKSクラスターには通常、gp3のようなEBSバックアップのStorageClassが既にあります。バンドルされたhostPath StorageClassをオフにして、PVCをgp3に向けることで再利用してください
      visiononeFilesecurity:
  management:
    dbEnabled: true
databaseContainer:
  storageClass:
    create: false          # reuse an existing EBS StorageClass
  persistence:
    storageClassName: gp3  # any EBS-backed StorageClass name works
    size: 100Gi
      ここで、
      databaseContainer.storageClass.create: falseは新しいStorageClassの作成をスキップします。databaseContainer.persistence.storageClassNameで参照される既存のStorageClass (EBS gp3、NFS、Cephなど) を再利用します。
    • AWS EBSをストレージとして使用するには、以下を確認する必要があります:
      • AWS EBS CSIドライバーがインストールされ、正常です (kubectl get storageclassはebs.csi.aws.comプロビジョナーを示しています)
      • CSIドライバーのIAMロールには標準のEBS権限があります
      • 希望のStorageClass (gp3、gp2など) は既に存在します。必要に応じて作成してください
      • NamespaceにはPVC/PVを作成する権限があります
  3. スキャナーサービスと管理サービスをIngressで公開する (例: AWS EKSデプロイメント)
    1. 共有ホストを構成する (推奨):
      スキャナーと管理サービスは、インフラストラクチャコストを削減し、DNS管理を簡素化するために同じホスト名を共有できます。ホストを共有する場合:
      • スキャナーサービスは、ルートパス (/) へのすべてのトラフィックを処理します
      • 管理サービスはWebSocketトラフィックを/ontapパスで処理します
      • イングレスコントローラーはリクエストをルーティングする際に、より長い/ontapパスを優先します
      注意
      注意
      共有ホストの主な要件は次のとおりです:
      • 両方のイングレスは、単一のロードバランサーを共有するために同じgroup.name注釈 (AWS ALB) を使用する必要があります
      • 管理サービスはWebSocketアップグレードの互換性のためにbackend-protocol: HTTP1(HTTP2ではない) を使用する必要があります
    2. スキャナーサービス用のvalues.yamlファイルを編集してください。
      scanner:
...
  ingress:
    enabled: true
    className: "alb"
    annotations:
      "alb.ingress.kubernetes.io/backend-protocol-version": "GRPC"
      "alb.ingress.kubernetes.io/group.name": "<lb-group-name>"
      "alb.ingress.kubernetes.io/scheme": "internet-facing"
      "alb.ingress.kubernetes.io/certificate-arn": "<certificate-arn>"
      "alb.ingress.kubernetes.io/target-type": "ip"
    hosts:
      - host: "<custom-domain-name>"
        paths:
          - path: /
            pathType: Prefix
    tls: []
    3. 管理サービス用のvalues.yamlファイルを編集してください。
      managementService:
  ingress:
    enabled: true
    className: "alb"
    annotations:
      "alb.ingress.kubernetes.io/backend-protocol-version": "HTTP1"
      "alb.ingress.kubernetes.io/group.name": "<lb-group-name>"
      "alb.ingress.kubernetes.io/scheme": "internet-facing"
      "alb.ingress.kubernetes.io/certificate-arn": "<certificate-arn>"
      "alb.ingress.kubernetes.io/target-type": "ip"
    hosts:
      - host: "<custom-domain-name>"
        paths:
          - path: /ontap
            pathType: Prefix
    tls: []
    4. カスタマイズされた[values.yml]ファイルでアップグレードします。
      helm upgrade my-release visionone-filesecurity/visionone-filesecurity -f values.yaml -n visionone-filesecurity
    5. Route 53を通じてDNSを構成する:
      • ALBのDNS名を確認してください: 
        kubectl get ingress -n visionone-filesecurity
      • 新しいレコードの作成:
        • 名前: <custom-domain-name>
        • タイプ: ALBのエイリアスA
        • 値/ターゲット: ALB DNS名
    6. Vscanサーバ上のスキャナーサービスと管理サービスのエンドポイントをテストする
      • 管理サービス用:
        • websocatを使用してWebSocketをテストします (認証されていないための予期されるエラーメッセージ (401)、認証トークンなしで接続をテストしているためです)
          websocat --exit-on-eof wss://<custom-domain-name>/ontap
      • TMFS-CLIを使用して検索をテストします (コンテナ化されたスキャナーで検索するにはAPIキーは必要ありません。)
  4. 管理サービスでONTAPエージェントのオンボーディングトークンを生成:
    1. コンテナ化されたスキャナーKubernetesクラスター内で管理サービスにアクセスする。
      kubectl exec -it <management service pod> -n <namespace> -- bash
    2. ONTAPエージェントのためのエージェントスロットを作成する:
      clish agent create --name <agent-name>
    3. ONTAPエージェント認証用のオンボーディングトークンを生成する。
      clish agent onboarding-token issue --instance <agent-name>
  5. ONTAPエージェントをインストール:
    1. ONTAPエージェントインストーラー (MSI)をダウンロードしてください。
    2. Windows Vscanサーバにインストールします。
    3. 次の設定でONTAPエージェントを構成してください:
      • 生成されたオンボーディングトークン
      • スキャナーサービスエンドポイント
      • 管理サービスエンドポイント
  6. Management ServiceでONTAPエージェントを構成します。
    1. コンテナ化されたスキャナーKubernetesクラスター内で管理サービスにアクセスする。
    2. エージェントの接続状態を確認してください。
      clish agent show --instance <agent-name>
    3. ONTAPエージェントの特権ユーザ認証情報 (ユーザ名/パスワード) を設定する
      clish agent credential modify --instance <agent-name>

配信を確認する 親トピック

手順

  1. ONTAP管理コンソールでVscanのステータスを確認してください。
    vserver vscan connection-status show-all
  2. Management ServiceでONTAPエージェント接続を確認
  3. EICAR署名を持つテストファイルを作成してテストファイルスキャンを行い、ブロックされるかどうかを確認します。