前提条件

• TrendAI Vision One™ APIキーは、オペレーターの役割 (または同等の権限と範囲を持つカスタム役割) を持っています。このツールはそれを使用してFile Securityを有効にし、CAMテンプレートをAWS accountにデプロイします。
• C1FSSがデプロイされているアカウントのAWS認証情報は、TrendAI Vision One™ CAMコネクタ/File Security Storage機能スタックをデプロイし、更新の独自のディスカバー/ティアダウン/検証アクションを実行できる必要があります。管理者相当のロールが最も簡単です。スコープされたポリシーについては、AWS required permissionsを参照してください。
• AWS CloudShellへのアクセス (推奨)。AWS認証情報を環境的に提供するため、ローカル設定は不要です。他の場所で実行するには、CloudShell FAQを参照してください。

アップデートを実行

1. CloudShellを開いてAPIキーを設定してください。
   C1FSSがデプロイされているAWS accountでCloudShellを開き、設定します:
   export V1_API_KEY="your-vision-one-api-key"
2. ツールをダウンロードしてテスト実行を行ってください。

   curl -sSL https://v1-file-security-storage.s3.amazonaws.com/aws/tools/v1fss-migrate.zip \
     -o v1fss-migrate.zip
   unzip -q v1fss-migrate.zip
   python3 -m v1fss_migrate run

   すべての変化する手順は[dry-run by default]です: 何も作成、変更、または削除されません。これにより、発見されたC1FSSスタック、それらが検索するバケット、およびツールが取る正確なアクションが出力されます。プリフライト → 発見 → オンボード → 同期 → 有効化 → 検証の手順を進みます。
3. 計画を確認してから実行してください。

   python3 -m v1fss_migrate resume --run-id <run-id> --execute

   各実行にはrun-idが割り当てられます (開始時に表示され、~/.v1fss-migrate/state-<run-id>.jsonにチェックポイントされます)。CloudShellのアイドルタイムアウトが中断した場合、完了したフェーズを繰り返さずに再開してください。

   python3 -m v1fss_migrate resume --run-id <run-id> --execute

   run --executeの実行中に、2つの質問がされることがあります (どちらも対話型ターミナルが必要であり、CloudShellが該当します):
   • SWP instance selection: テナントに複数のServer & Workload Protectionインスタンスがある場合、onboardは一時停止し、番号で選択するためにそれらを一覧表示します。--workload-instance-id <id>を使用してプロンプトをスキップします (TrendAI Vision One™コンソールのServer & Workload Protectionで見つけることができます)。
   • Verify bucket: verifyは各リージョンで1回実行され、そのリージョンにあるC1FSSで保護されていないバケットを要求します。これにより、V1FSSがその場所でスキャンを行うことを証明できます。バケット名を入力するか、そのリージョンの検証をスキップするには空白のままにします (スキップしても問題ありません。詳細はverify FAQを参照してください)。C1FSSで保護されているバケットや、異なるリージョンにあるバケットはその場で拒否され、再度要求されます。
4. 1つのリージョンずつ検証して解体します。
   手順3の後、すべてのリージョンはすでにverifyを実行しています (プロンプトを空白のままにした場合はスキップとしてマークされます)、したがってすべてのリージョンはテアダウンの準備が整っています。テアダウンは、verifyではなく、V1FSSがバケットの保護を確認したことに基づいています。

   注意 [Verify is optional.] 単独で実行して、特定の地域に対する明確なエンドツーエンドの検索証明を取得するか、検証に失敗した地域を再検証します。C1FSSの下にない、--regionsの地域にあるバケットを使用してください。

   python3 -m v1fss_migrate verify \
     --run-id <run-id> --regions us-east-1 \
     --verify-bucket <bucket-not-under-c1fss> --execute

   [Tear down]地域のC1FSSスタック:

   python3 -m v1fss_migrate teardown \
     --run-id <run-id> --regions us-east-1 --execute

[If your C1FSS is deployed in a VPC, teardown takes noticeably longer.] VPCに接続されたスキャナー (またはストレージ) Lambdaの削除は、AWSネットワークインターフェイス (ENI) のクリーンアップを待機します。これは通常[10–40 minutes per stack]で実行され、非VPCスタックの場合は1分または2分です。スタックは並行して削除されるため、フェーズは最も遅いものに制約され、合計ではありません。各削除はデフォルトで[1時間]まで待機します。必要に応じて--teardown-timeout <seconds>で延長してください。これは予期された動作ですので、そのまま実行させてください。詳細はテアダウンFAQをご覧ください。

python3 -m v1fss_migrate verify \
  --run-id <run-id> --regions us-west-2 \
  --verify-bucket <another-bucket-not-under-c1fss> --execute

python3 -m v1fss_migrate teardown \
  --run-id <run-id> --regions us-west-2 --execute

更新されていないもの

• Account-Scanner topology: サポートされていません。discoverはそれを見つけた場合、直ちに中止します。代わりに手動のランブックでそのアカウントを更新してください。
• Org (CAM organizational) accounts: サポートされていません。たとえそのアカウントでC1FSSをまだ更新していなくてもです。CAMコネクタスタックは、アカウントごとに作成または更新されるのではなく、組織の管理アカウントからStackSetによってプッシュされます。
• [C1 settings with no V1 equivalent](onboard中に「NOT carried over」として記録される): ReportObjectKey、ScanOnGetObject、ExclusiveBucketList、EnableCrossAccountScanning、AdditionalIAMPolicies、ObjectFilterPrefix、ObjectCreatedEventFilter。オブジェクトキーのプレフィルタは、たとえ1つのC1バケットのみが設定していても、決して引き継がれません。V1FSSの同等機能はアカウント全体に適用され、バケットごとではないため、C1でフィルタが設定されていなかった他のすべてのバケットに対してスキャンを誤って狭めることになります。
• [Promote/quarantine in][コピー][mode]: V1FSSの検索後のアクションは、[moves]されたオブジェクトにのみ適用されます。コピー・モードの同等機能はありません。C1プラグインがPromoteMode/QuarantineMode = copy(元のオブジェクトはソースバケットに残る) を実行する場合、onboardは警告をログに記録します: カットオーバー後、ソースオブジェクトは[削除]され、保持されません。C1を解体する前に、これが許容されることを確認してください。
• Plugin object ACLs: C1プラグインは移動するオブジェクトにカスタムACLを再適用しますが、V1FSSのアクションはそうしないため、プラグインのACL設定は引き継がれません (onboardは見つかった場合にWARNINGを記録します)。
• Conflicting per-region values: 同じリージョン内で2つ以上のC1スタックが異なるVPC Subnets/セキュリティグループ/プロキシを報告した場合、または異なるリージョンが異なるIAM権限境界を報告した場合、競合する値は引き継がれません (onboard は影響を受けたリージョンを名前付きでWARNINGをログに記録します); その後、コネクタースタックで手動で設定してください。
• Conflicting scan-result tag formats: 検索結果タグ形式 (Separated tags / Merged tag / No tag) はV1FSSで[account-wide]ですので、上記の値とは異なり、C1スタックが一致しない場合に単純に削除することはできません。C1スタックが[different]タグ形式を地域全体で使用している場合、onboardは[majority]形式を選択し、アカウント全体に適用し、見つかった形式と選択された形式をリストしたWARNINGをログに記録します。C1スタックが異なる形式を使用していたバケットは、切り替え後に選択された形式でタグ付けされ、C1の動作から変更されます。異なる形式が必要な場合は、その後にコネクタースタックでFileSecurityStorageScanResultTagFormatを設定してください。
• IAM permissions boundary: デフォルトで引き継がれますが、WARNINGとしてフラグが立てられます。C1とV1は異なるCFNリソース/IAMロールを使用しているため、C1で機能した境界がV1のデプロイを妨げる可能性があります。--skip-permission-boundaryを渡して除外してください。

トラブルシューティングとFAQ

python3 -m v1fss_migrate status --run-id <run-id>
python3 -m v1fss_migrate resume --run-id <run-id> --execute

python3 -m v1fss_migrate rollback --run-id <run-id> --execute