コマンドラインの基本

次の形式で指定されたURLのManagerに対して、Agentを有効化します。

dsm://<host>:<port>/

指定する項目は次のとおりです。

• <host> にはManagerの完全修飾ドメイン名 (FQDN)、IPv4アドレス、またはIPv6アドレスを入力します。
• <ポート>にはManagerの待機ポート番号を入力します。

必要に応じて、有効化中に送信する設定 (説明など) を、この引数に続けて指定することもできます。詳しくは、Agentからのハートビート有効化コマンド (「dsa_control -m」)を参照してください。パラメータはキー:値のペアとして入力する必要があります (セパレータにはコロンを使用します)。入力可能なキー:値のペアの数に制限はありませんが、キー:値のそれぞれのペアをスペースで区切る必要があります。キー:値のペアにスペースや特殊文字が含まれている場合は、キー:値のペアを引用符で囲む必要があります。

AgentのURLです。初期設定:

https://localhost:<port>/

にはManagerの待機ポート番号を入力します。

認証パスワードです。Deep Security Managerで以前に設定されている可能性があります。詳細については、Deep Security Managerを介してセルフプロテクションを設定するを参照してください。設定されている場合は、dsa_control -a、dsa_control -x、およびdsa_control -yを除くdsa_controlコマンドすべてにパスワードを含める必要があります。

例: dsa_control -m -p MyPa$$w0rd

パスワードは、コマンドラインに直接入力した場合、画面上に表示されます。入力中のパスワードをアスタリスク (*) にして非表示にする場合は、対話形式のコマンド-p *を入力します。この場合、パスワードの入力を求めるプロンプトが表示されます。

例:

dsa_control -m -p *

Agentセルフプロテクションを有効にします (1: 有効、0: 無効)。セルフプロテクションにより、ローカルのエンドユーザはAgentに対してアンインストールや停止などの制御ができなくなります。詳細については、Agentセルフプロテクションの有効化または無効化を参照してください。この機能はWindows版でのみ使用できます。

セルフプロテクションはdsa_controlコマンドで有効化できますが、関連付けられた認証パスワードの設定にはDeep Security Managerを使用する必要があります。詳細については、Deep Security Managerを介してセルフプロテクションを設定するを参照してください。パスワードは、設定後は-pまたは--passwd=オプションを使用してコマンドラインに入力する必要があります。

プロキシが認証を要求する場合は、 -x オプションと組み合わせてプロキシのユーザ名とパスワードを指定します。ユーザ名とパスワードは、コロン (:)で区切ります。例： # ./dsa_control -x dsm_proxy://<str> -u <new username>:<new password>。

ユーザ名とパスワードを削除するには、空の文字列（ ""）を入力します。例： # ./dsa_control -x dsm_proxy://<str> -u <existing username>:""。

プロキシのユーザ名のみを変更せずにプロキシのパスワードのみをアップデートする場合は、 -xなしで -u オプションを使用できます。例： # ./dsa_control -u <existing username>:<new password>。

基本認証のみ。Digest認証とNTLM認証はサポートされていません。

注意: dsa_control -u の使用は、エージェントのローカル設定にのみ適用されます。このコマンドを実行した結果、マネージャ上でセキュリティポリシーが変更されません。

プロキシが認証を要求する場合は、 -y オプションと組み合わせてプロキシのユーザ名とパスワードを指定します。ユーザ名とパスワードは、コロン (:)で区切ります。例： # ./dsa_control -y relay_proxy://<str> -w <new username>:<new password> 。

ユーザ名とパスワードを削除するには、空の文字列（ ""）を入力します。例： # ./dsa_control -y relay_proxy://<str> -w <existing username>:""。

プロキシのユーザ名のみを変更せずにプロキシのパスワードのみをアップデートする場合は、 -yなしで -w オプションを使用できます。例： # ./dsa_control -w <existing username>:<new password>。

注意: dsa_control -w の使用は、エージェントのローカル設定にのみ適用されます。このコマンドを実行した結果、マネージャ上でセキュリティポリシーが変更されません。

ブール。

コンピュータ上で実行されている手動検索をキャンセルします。

ブール。

コンピュータに対して手動の不正プログラム検索を開始します。

文字列。

コンピュータの説明を設定します。最大2000文字。

文字列。

[コンピュータ] のホスト名の横にカッコで囲んで表示される表示名を設定します。最大2000文字。

整数。

externalid値を設定します。この値を使用して、Agentを一意に識別できます。この値には、従来のSOAP WebサービスAPIを使用してアクセスできます。

文字列。

[コンピュータ] 画面に表示される、コンピュータの属するグループを設定します。1つの階層レベルの1つのグループ名につき最大254文字。

スラッシュ (「/」) はグループの階層を示します。groupパラメータはグループの階層を読み取ったり、作成したりできます。
このパラメータは、メインの「コンピュータ」ルートブランチの下位にある標準のグループにコンピュータを追加する場合にのみ使用できます。ディレクトリ (Microsoft Active Directory)、VMware vCenter、またはクラウドプロバイダのアカウントに所属するグループにコンピュータを追加する場合には使用できません。

整数。

文字列。

最大254文字。

ManagerがAgentに接続する際に使用するIPアドレス、ホスト名、またはFQDNを指定します。

ブール。

コンピュータで変更の検索を開始します。

文字列。

最大254文字。

ポリシー名とポリシーリストの大文字と小文字は区別しません。ポリシーが見つからない場合、ポリシーは割り当てられません。

イベントベースタスクによって割り当てられるポリシーは、Agentからのリモート有効化中に割り当てられるポリシーをオーバーライドします。

整数。

文字列。

コンピュータを特定のRelayグループにリンクします。最大254文字。

Relayグループ名と既存のRelayグループ名の大文字と小文字は区別しません。Relayグループが見つからない場合は、初期設定のRelayグループが使用されます。

これは、イベントベースタスクの際に割り当てられるRelayグループには影響を与えません。このオプションまたはイベントベースタスクのどちらかを使用してください。

整数。

整数。

文字列。

Agentからのリモート有効化をテナントとして使用する場合は、tenantIDとtokenの両方が必要です。tenantIDとtokenはインストールスクリプト生成ツールから取得できます。

ブール。

コンピュータで推奨設定の検索を開始します。

ブール。

セキュリティアップデートの実行をDeep Security Managerに指示します。

Deep Security Agent 12.0以降でUpdateComponentパラメータを使用する場合は、Deep Security Relayもバージョン12.0以降であることを確認してください。詳細を表示。

ブール。

コンピュータに変更監視ベースラインを再構築します。

ブール。

「ポリシーの送信」処理を実行するようにDeep Security Managerに指示します。

オプションのAgentセルフプロテクション機能で使用される認証パスワードです。セルフプロテクションを有効化した際にパスワードを指定した場合は必須となります。

Agentに対してクエリコマンドを実行します。次のコマンドがサポートされます。

• "GetHostInfo": ハートビート中にManagerに返されるIDを照会します。
• "GetAgentStatus"：どの保護モジュールが有効になっているかを検索します. 不正プログラム対策 および 変更監視 検索のステータス、その他のその他の情報を照会します。
• "GetComponentInfo": 不正プログラム対策のパターンおよびエンジンのバージョン情報を照会します。
• "GetPluginVersion": Agentと保護モジュールのバージョン情報を照会します。

結果をフィルタするためのワイルドカードのパターンです(オプション)。

例:
dsa_query -c "GetComponentInfo" -r "au" "AM*"

設定を変更します。

このコマンドの実行前に環境をバックアップしてください。この設定による影響を理解している場合を除いては、このコマンドは使用しないでください。誤った設定により、サービスが利用不可能となったり、データが読み取り不能となったりすることがあります。このコマンドを使用するのは通常、テクニカルサポートから依頼された場合のみです。この場合、どの設定のNAMEを変更するか指示があります。通常の処理でこのコマンドの使用が必要となることもあります。その場合、設定方法はドキュメント内の該当セクション (masterkey など) に記載されています。

システム用の診断パッケージを作成します。

必要に応じて、詳細な診断パッケージのプロセスメモリを増やすことができます。

カスタムのマスターキーを生成、インポート、エクスポート、または使用して、以下を暗号化します。

• データベースのパスワード
• Keystoreパスワード
• 個人データ

新規インストール時にカスタムのマスターキーを設定した場合は、セットアップがすでにインストーラにより行われています。マスターキーの生成をスキップしていて、その設定を今行う必要がある場合は、手順1のコマンドから開始して、順番にすべてのコマンドを入力してください。

アップグレード時にマスターキーを設定した場合は、データベースとプロパティファイルをバックアップして、手順4のコマンドから開始してください。

1. dsm_c -action masterkey -subaction [generatekmskey -arn AWSARN | generatelocalkey] - Key Management System (KMS) キーのAmazon Resource Name (ARN) か、LOCAL_KEY_SECRETローカル環境変数を使用して、マスターキーを生成します。複数ノードのDeep Security Managerにローカル環境変数を使用する場合は、すべてのノードに対してユーザレベルではなくシステムレベルで、64文字以下で設定する必要があります。

   マスターキーの設定時には、Deep Security Managerで権限が必要となります。また、KMSまたはLOCAL_KEY_SECRETとのネットワーク接続が安定している必要もあります。マスターキーの暗号化と復号化を行う際にこれらが必要となります。一時的に接続が切れた場合は、Deep Security Managerでは必要なデータの復号化ができなくなり、サービスが利用不可能になります。症状としては、再起動の失敗などのエラーに関するイベントログやアラートが断続的に途切れたりします。
   キーをプロビジョニングするには、ローカルファイルに依存しないため、KMSを使用することをお勧めします。ローカル環境変数を使用している場合、LOCAL_KEY_SECRET値は、データベースを暗号化する実際のマスターキーを生成するためにsalt（キー生成プロセスに提供される一意の追加データ）です。鍵がなければ、データベースを盗む人はそれを復号化できません。塩がなければ、鍵自体は再計算できません。このシークレットのクライアント管理部分は、キー生成プロセスを独自の追加データでカスタマイズするためのオプションとして提供されています。しかし、塩の有無にかかわらず、実際のキーはクリアテキストでは保存されません。また、この文字列は、読み取り専用の権限を持つファイルに保存されます。

2. dsm_c -action masterkey -subaction export -file FILEPATH - マスターキーをバックアップのために、パスワードで暗号化されたファイルにエクスポートします。パスワードが要求されます。

   マスターキーを安全な場所にエクスポートしてバックアップします。バックアップがないと、マスターキーを紛失または破損した場合に暗号化データがすべて読み取り不能となります。その場合、Deep Security Manager、すべてのRelay、およびすべてのAgent/Appliancesの再インストールが必要となります。マスターキーが盗まれた場合は、Deep Security環境のセキュリティが侵害されます。欧州の一般データ保護規則 (GDPR) などのコンプライアンス規則により、個人データの漏えいから72時間以内に監督機関に通知する義務が生じたり、コンプライアンスに準拠していない場合に罰金が科せられたりする場合があります。詳しくは、弁護士に相談してください。

   障害復旧を目的にバックアップを検証するには、マスターキーをインポートしてテストします。

   dsm_c -action masterkey -subaction [importkmskey -file FILEPATH -arn AWSARN | importlocalkey -file FILEPATH] - バックアップしたマスターキーをインポートします。このコマンドは、マスターキーが破損した場合に障害復旧を行う場合や、マスターキーを他のKMSに移行する場合に役立ちます。このコマンドの実行前に、プライマリテナント (T0) のデータベースから既存のマスターキーを削除する必要があります。

   たとえば、以下のSQLコマンドを入力します。

   delete from systemsettings where uniquekey = 'settings.configuration.keyEncryptingKey'

3. dsm_c -action masterkey -subaction encryptproperties - マスターキーを使用して、dsm.propertiesとconfiguration.propertiesのKeystoreパスワードおよびデータベースのパスワードを暗号化します。この設定を有効にするには、Deep Security Managerを再起動してください。

4. dsm_c -action masterkey -subaction encrypttenantkey -tenantid [all | TENANTNUM] - マルチテナント環境が構築されている場合に、マスターキーを使用して既存のテナントキーシードを暗号化します。テナントキーシードは、次の手順で使用するサブキーを生成するために必要となります。シードがすでに暗号化されていたとしても、何重にも暗号化されることはないため、複数回実行しても安全です。

   既存のテナントの暗号化は徐々に行い、今は新しいテナントのみを暗号化する場合は、次のコマンドを最初に入力してください。

   dsm_c -action changesetting -name settings.configuration.encryptTenantKeyForNewTenants -value true

5. dsm_c -action masterkey -subaction encryptpii -tenantid [all | TENANTNUM] - 各テナントのキーを使用して、データベースに格納されている管理者と連絡先の個人データを暗号化します。
6. dsm_c -action masterkey -subaction encryptdsmprivatekey -tenantid [all | TENANTNUM] - マスターキーを使用して、有効化など、SSL/TLS経由のAgentとManagerの通信で使用される秘密鍵を暗号化します。
7. dsm_c -action masterkey -subaction isconfigured - マスターキーが作成されたかどうかを確認します。

dsm_c -action upgradetasks [-listtasksets] [-listtasks -taskset UPGRADE_TASK_SET [-force]] [-tenantlist] [-tenantsummary] [-run -taskset UPGRADE_TASK_SET [-force] [-filter REGULAR_EXPRESSION]] [-showrollbackinfo -task TASKNAME] [-purgehistory [-task TASKNAME]] [-showhistory [-task TASKNAME]] [-tenantname TENANTNAME | -tenantid TENANTID]

• [-listtasksets]:システム全体またはテナント (-tenantnameで指定) 用の一連のタスクを一覧表示します。
• [-listtasks -taskset UPGRADE_TASK_SET [-force]]: 実行する変更内容を一覧表示します。すべてのタスクを表示するには、-forceを指定します。
• [-tenantlist]: 指定したテナントの未解決アップグレード処理のバージョンを表示します。
• [-tenantsummary]: 最新ではないテナントの概要を表示します。
• [-run -taskset UPGRADE_TASK_SET [-force] [-filter REGX]]: 各テナントにアップグレード処理を実行します。実行済みであっても、すべてのタスクを実行する場合は、-forceを含めます。正規表現で処理を制限する場合は、-filterを含めます。
• [-showrollbackinfo -task TASKNAME]: 指定したタスクのロールバック情報を表示します。1つのテナントまたはすべてのテナントを表示できます。
• [-purgehistory [-task TASKNAME]]: 指定したテナントやタスクの履歴を削除します。テナントやタスクを指定しないと、すべての項目が対象になります。
• [-showhistory [-task TASKNAME]]: 指定したテナントやタスクの履歴を表示します。テナントやタスクを指定しないと、すべての項目が対象になります。