Deep Security Manager AMIのアップグレード

トピック:

開始前の準備

次の内容を確認してください:

  • データベースの最近のバックアップがあります (Amazon RDS DB インスタンスのバックアップと復元を参照)。アップグレード中に重大な障害が発生した場合、バックアップがなければ復旧手段がない可能性があります。
  • Deep Security ManagerインスタンスがElastic Load Balancer (ELB) の背後に配置されているか、Elastic IPを使用している。
  • お使いのDeep Security Managerバージョン:
    • Deep Security Managerコンソールを開き、右上隅の[サポート情報>について]をクリックします。
  • お使いのDeep Security ManagerのOSは、Amazon LinuxまたはAmazon Linux 2です。
    • Deep Security Managerコンソールで、[管理]→[システム情報] に進みます。
    • システムの詳細の下で、各マネージャノードを展開し、環境 > プラットフォームに移動します。プラットフォームの値の一部としてamzn2文字列が表示される場合 (例: Linux 4.14.186-146.268.amzn2.x86_64)、Deep Security ManagerはAmazon Linux 2で実行されています。Linux 4.14.181-108.257.amzn1.x86_64または類似のものが表示される場合、Deep Security ManagerはAmazon Linuxで実行されています。

      コマンドラインを使用してプラットフォームを確認するには、各Deep Security ManagerノードにSSHで接続し、uname -rコマンドを実行して、返された文字列を確認します。

アップグレード方法を選択

Deep Security 20以降、AWS Marketplaceからのすべての新しいDeep Security ManagerデプロイメントにはOSとしてAmazon Linux 2023が使用されます。以前のバージョンのAmazon Machine Image (AMI) ではAmazon Linux 2が使用されていましたが、これは2026年6月30日にサポート終了となり、Amazon Linuxはすでに2023年12月31日にサポート終了となっています。

Deep Security Manager 11または12をAWS Marketplaceからインストールした場合、またはDeep Security ManagerをAmazon Linux 2にインストールした場合、Amazon Linux 2023への一度限りの手動アップグレードを完了する必要があります。Amazon LinuxおよびAmazon Linux 2はAmazon Linux 2023へのインプレースアップグレードをサポートしていないため、Amazon LinuxまたはAmazon Linux 2からAmazon Linux 2023へのOSアップグレードを完了するためのワンクリックアップグレードは利用できません。

手動アップグレードを完了するために、トレンドマイクロは2023年12月31日までAmazon Linux用のワンクリックアップグレードを公開しており、2026年12月31日までAmazon Linux 2用のワンクリックアップグレードを公開し続けます。これらの日付 (AWSのサポート終了日) 以降、Amazon Linux 2を使用しているDeep Security Managerのデプロイメントではワンクリックアップグレードを利用できなくなります。Amazon Linux 2023を使用しているDeep Security Managerのデプロイメントでは、ワンクリックアップグレードは引き続き利用可能です。

このDeep Security Manager環境を現在実行している場合 そしてにアップグレードしたい このアップグレード方法を使用する
Deep Security 11より前のバージョン 任意のバージョン OneClickのアップグレードはDeep Security 11で利用可能になりました。以前のバージョンでは、手動アップグレードの実行する必要があります。
Deep Security 11または12 Amazon Linuxを使用したDeep Security 20

「新しいバージョンのDeep Securityが利用可能です」というメッセージがDeep Security Managerコンソールの上部にバナーで表示された場合、ワンクリックアップグレードを実行するできます。

Amazon Linuxのワンクリックアップグレードは2023年12月31日に終了しました。これはAmazon LinuxのAWSのサポート終了日です。
Deep Security 11または12 Amazon Linux 2を使用したDeep Security 20 Amazon LinuxはAmazon Linux 2へのインプレースアップグレードをサポートしていないため、ワンクリックアップグレードは利用できません。手動アップグレードの実行。
Amazon Linuxを使用したDeep Security 20 Deep Security 20（Amazon Linux版）の最新バージョン

「新しいバージョンのDeep Securityが利用可能です」というメッセージがDeep Security Managerコンソールの上部にバナーで表示された場合、ワンクリックアップグレードを実行するできます。

Amazon Linuxのワンクリックアップグレードは2023年12月31日に終了しました。これはAmazon LinuxのAWSのサポート終了日です。
Amazon Linuxを使用したDeep Security 20 Deep Security 20 with Amazon Linux 2 Amazon LinuxはAmazon Linux 2へのインプレースアップグレードをサポートしていないため、ワンクリックアップグレードは利用できません。手動アップグレードの実行。
Amazon Linux 2を使用したDeep Security 20 Deep Security 20（Amazon Linux 2）のそれ以降のバージョン

「新しいバージョンのDeep Securityが利用可能です」というメッセージがDeep Security Managerコンソールの上部にバナーで表示された場合、ワンクリックアップグレードを実行するできます。

Amazon Linux 2のワンクリックアップグレードは、AWSのAmazon Linux 2のサポート終了日である2026年6月30日に停止します。
Amazon LinuxでのDeep Security 20 Amazon Linuxを使用したDeep Security 20の後のバージョン

「新しいバージョンのDeep Securityが利用可能です」というメッセージがDeep Security Managerコンソールの上部にバナーで表示された場合、ワンクリックアップグレードを実行するできます。

Amazon Linuxのワンクリックアップグレードは2023年12月31日に停止しました。これは、Amazon LinuxのAWSのサポート終了日です。
Amazon Linux 2を使用したDeep Security 20 Deep Security 20 と Amazon Linux 2023 Amazon Linux 2はAmazon Linux 2023へのインプレースアップグレードをサポートしていないため、ワンクリックアップグレードは利用できません。手動アップグレードの実行。

ワンクリックアップグレードを実行する

「新しいバージョンのDeep Securityが利用可能です」というメッセージがDeep Security Managerコンソールの上部にバナーで表示された場合は、Deep Securityのアップグレードをクリックしてアップグレードを開始します。アップグレードの詳細を含む確認メッセージが表示されたら、アップグレードをクリックします。

アップグレードの完了に必要な時間は、ノードの数、データベースのサイズ、現在利用可能なリソース、およびアップグレードがデータベース内のスキーマテーブルの更新を必要とするかどうかなど、いくつかの要因によって異なります。ベストプラクティス構成を使用しているDeep Security Managerの場合、通常のアップグレードの所要時間は10分から30分です。

ワンクリックアップグレードには、AWS Linux 2023用のOS関連パッチも含まれています。

データベースによってスキーマの更新が適用されている間、アップグレードプロセスは進行状況の更新を受け取りません。その結果、アップグレードが進行しているという表示が見られない場合があります。忍耐強く、アップグレードプロセスが完了するまで待ってください。アップグレード中に問題が発生した場合は、エラーが表示されます。完了前にアップグレードを中止すると、システムが不明な状態になる可能性があります。

ブラウザがタイムアウトしても、アップグレードプロセスは中断されません。プロセスが完了したら、Deep Security Managerコンソールにログインし、アップグレードバナーが表示されなくなったことを確認する必要があります。

アップグレードが成功すると、ログインページにリダイレクトされ、アップグレードバナーは表示されなくなります。

アップグレードの詳細については、アップグレードログファイル (/opt/dsm/upgrade/upgrade.log) を確認してください。

手動アップグレードの実行

Deep Security Manager AMI を 11.0 より前のバージョンにアップグレードする場合、または Amazon Linux 2 を含むバージョンから Amazon Linux 2023 を使用するバージョンにアップグレードする場合は、手動でアップグレードする必要があります。

  1. 最初にCloudFormationを使用してデプロイした場合、現在の各Deep Security Managerインスタンスに対して次の設定がどのように構成されているかに注意してください。
    • インスタンスの種類
    • VPC
    • サブネット
    • IAM 役割
    • セキュリティグループ
    • キーペア名

    手動アップグレードを実行すると、スタック内のAMI IDはCloudFormationテンプレートの一部として最初にデプロイされたものとは異なります。手動でデプロイされたインスタンスは元のスタックの一部ではなく、スタックを削除しても削除されません。ただし、インスタンスを手動で削除することはできます。

  2. AWSマネジメントコンソールでインスタンスを右クリックし、[Instance State] > [Stop] の順に選択し、すべてのDeep Security Managerインスタンスを停止します。
  3. AWS Marketplaceから最新バージョンを使用して、現在使用しているのと同じ課金モデルでDeep Security Managerの新しいインスタンスをデプロイします。
    最初にCloudFormationを使用してデプロイした場合は、手順1で記録した設定を適用し、新しいインスタンスをデプロイする際にAuto-assign Public IPを選択します。
  4. インスタンスが実行中の場合、https://ip:8080に移動し、インスタンスIDを入力してサインインをクリックします。
    新しいインスタンスのセキュリティグループが接続のためにインバウンドルールでポート8080を許可していることを確認してください。CloudFormationを使用してデプロイした場合は、インスタンスのセキュリティグループのインバウンドルールに8080を追加する必要があります。手順については、AWS documentationを参照してください。
  5. 使用許諾契約書 タブで使用許諾契約書の内容を読み、同意したら、次へ をクリックします。
  6. データベースタブで、既存のDeep Securityデータベースの構成パラメータを入力し、次へをクリックします。次の点に注意してください:
    • CloudFormationを使用してデプロイした場合、デフォルトのデータベース名は「dsm」です。
    • 従量課金の請求を使用している場合、デフォルトのデータベースユーザー名は「dsmadmin」であり、データベースパスワードは環境をデプロイする際に指定されたDeep Security Managerコンソールのパスワードと同じです。
    • BYOL (ライセンス持ち込み) 課金を使用している場合、データベースのユーザー名とパスワードは環境を展開する際に作成したものです。
    • リレーショナルデータベースサービス (RDS) エンドポイントを見つけるには、AWS CloudFormationコンソールで現在のRDSを見つけます。RDSを作成するためのネストされたスタック名は [Your stack name]-MasterMP-[Random string]-DSDatabaseAbstract-[Random string]-DS[DB type]RDS-[Random string]です。AWS CloudFormationコンソールのリソースタブにRDSコンソールへのリンクがあります。
  7. 以前のバージョンの確認タブで、アップグレードをクリックし、次に次へをクリックします。
  8. アドレスおよびポートタブで、Deep Security Managerをインストールするコンピュータのホスト名またはIPアドレスを入力し、次へをクリックします。
    マネージャアドレスは、解決可能なホスト名、完全修飾ドメイン名、またはIPアドレスである必要があります。環境内でDNSが利用できない場合や、一部のコンピュータがDNSを使用できない場合は、ホスト名の代わりに固定IPアドレスを使用する必要があります。また、デフォルトのポート番号を変更することもできます。
  9. 認証情報タブで、次へをクリックします。
    既存の認証情報はそのまま残ります。
  10. 設定の確認タブで、インストール設定が正しいことを確認し、インストールをクリックします。
    Deep Security ステータスページにDeep Security Managerがインストール中であることが表示されます。
  11. Elastic Load Balancing (ELB) を使用している場合は、新しいDeep Security ManagerインスタンスをELBリストに追加してください。また、リレーもリストに追加してください。
    最初にCloudFormationを使用してデプロイした場合、AWS CloudFormationコンソールでELB名を見つけることができます。ネストされたスタック名は[Your stack name]-marketplace-MasterMP-[Random string]-DSIELB-[Random string]です。AWS CloudFormationコンソールのResourcesタブにELBコンソールへのリンクがあります。
  12. Deep Security Managerにログインし、コンピュータタブに移動します。古いDeep Security Managerのインストールの一部として追加されたDeep Securityリレーを削除します。
  13. 以前のDeep Security Managerノードを削除します。Deep Security Managerの Administration タブに移動して、左側のナビゲーションメニューで Manager Nodes を選択し、以前のManagerノード (ステータス: Offline (Upgrade Required)) ごとに Properties 画面を開いて Decommission をクリックします。
  14. 新規に追加したDeep Security Managerコンピュータオブジェクトをダブルクリックし、有効化されていること、および正しいポリシーが割り当てられていることを確認します。
  15. 古いDeep Security Managerインスタンスを削除するには、AWSコンソールからインスタンスを右クリックし、インスタンスの状態 > 終了を選択します。ELBを使用している場合は、古いインスタンスもELBから削除してください。

さらに Deep Security Manager ノードを追加するには、手順3から6を繰り返します。手順7では、新しいマネージャノードをクリックし、次に次へをクリックします。新しいノードの展開が成功すると、Deep Security Manager コンソールの管理 > マネージャノードに新しいノードが表示されます。手順8から11を続けてください。

質問がある場合や問題が発生した場合は、aws.marketplace@trendmicro.comに問い合わせてください。

マルチテナントアップグレードを実行する

マルチテナント環境のアップグレード

アップグレード後のタスク

アップグレード後、次のタスクを完了することができます:

  • サーバ証明書の置き換え: アップグレード後、Deep Security Managerのサーバ証明書は新規インストールを行わない限り保持されます。証明書がSHA-1などの弱い暗号アルゴリズムを使用して作成された場合、証明書の置き換えを検討してください。より強力な暗号化を使用することで、最新の標準に準拠し、最新のエクスプロイトや攻撃に対する保護を強化できます。 Deep Security ManagerのTLS証明書を変更します。を参照してください。