Atlas ディスカバリーでのスキャンプロファイルについて

Atlas ディスカバリー では、外部ネットワークスキャンと内部ネットワークスキャンの両方を実行し、証明書インベントリおよびダッシュボードに情報を収集します。
スキャンは一度設定すると その後は 24時間ごとに自動的に実行されます。
外部スキャンでは サブドメインを含める設定が可能で、内部スキャンでは エージェントソフトウェアのインストールが必要です。
スキャンの 実行状態や 最終実行日時は、このページで確認できます。
※ 内部スキャンは、エージェントソフトウェアを ダウンロードして有効化するまで 状態が「not started（未開始）」となります。

スキャンプロファイルでできること:

• 1つのスキャンプロファイルに 最大5つのスキャン対象を設定できます。
  （FQDN、IPv4 アドレス、またはアドレス範囲）
• スキャンは24時間ごとに自動実行されますが、「実行」ボタンをクリックすることで 手動実行も可能です。
• 作成済みのスキャンプロファイルは、編集または削除できます。

外部スキャン（External Scans）

外部スキャンでは、特定の ドメインやサブドメインを対象に TLS 証明書を検出・確認・管理します。
対象には FQDN または パブリック IPv4 アドレス（または範囲）を指定できます。
サブドメインを含める場合、現在は利用頻度の高い上位200件を対象とします。
（今後のリリースで拡張予定）

外部スキャンの設定手順

1. Atlas ポータルメニューから ディスカバリ－ → スキャンプロファイルを開き「スキャンプロファイルを作成」をクリックします。
   
2. 以下項目を入力、選択後「スキャンプロファイルを保存してスキャンを実行」をクリックします。
   ■スキャンプロファイル名：任意の名称
   ■スキャンタイプ：「外部」
   ■スキャンターゲット：
   ・トップレベルドメイン、またはパブリックIPv4アドレス（または範囲）
    　（サブドメインを含める場合はチェックボックスを有効にしてください）
   ・スキャンする ポート番号（既定は 443、対象ごとに1ポートのみ指定可能です）
   
   
   
   結果がインベントリやダッシュボードに反映されるまで、数分かかる場合があります

内部スキャン（Internal Scans）

内部スキャンでは、内部ネットワーク上のポートを対象に TLS 証明書を検出・管理します。
このスキャンを実行するには、エージェントの作成と有効化が必要です。
エージェントは、内部ネットワークを監視し、検出結果を Atlas ディスカバリー に送信する
軽量なツールです。

対応 OS：Windows / Linux / Darwin（macOS）
Windows 版エージェントは GlobalSign のコードサイニング証明書で署名されています

1. Atlas ポータルメニューから ディスカバリ－ → スキャンプロファイルを開き「スキャンプロファイルを作成」をクリックします。
   
2. 以下項目を入力、選択後「スキャンプロファイルを保存」をクリックします。
   ■スキャンプロファイル名：任意の名称
   ■スキャンタイプ：「エージェント」
   ■スキャンターゲット：
   ・トップレベルドメイン、またはパブリックIPv4アドレス（または範囲）
   ・スキャンする ポート番号（既定は 443、対象ごとに1ポートのみ指定可能です）
   
3. 保存後、画面に追加の案内が表示されるので、ご利用環境のOS を選択し、エージェント（ソフトウェア）をダウンロードします。
   
4. コマンドプロンプトを開きエージェントを配置したディレクトリに移動します。
   ※ エージェントファイルは直接開いても動作しません。

5. トークンの文字列をコピー＆ペーストし、コマンドプロンプト上でコピーしたコマンドを実行しエージェントを有効化します。
   
   エージェントはデフォルトで 24 時間ごとに実行されます。
   「-frequency」パラメータで間隔を変更可能
   「-verbose」 を付与すると詳細ログを表示

6. 設定画面を閉じます

Linux / macOS の場合は、次のコマンドで実行権限を付与します。

chmod a+x

※macOS（Darwin）でご利用いただく際の注意点

1. 初回実行時のセキュリティ警告では「キャンセル」を選択
2. システム設定 → セキュリティとプライバシー → 一般 で「許可」を選択
3. 再度実行し、次の警告では 「開く」を選択してください

• エージェントの有効化トークンについて

有効化トークンの有効期間は 1年間です。

トークンの期限切れや紛失した場合は、以下手順にて再度発行可能です。

1. 歯車マークをクリックし設定画面を開きます。
   
2. 「トークンを更新」をクリックすることで、トークンが表示されます。
   

内部スキャン用エージェントの通信（IP アドレスについて）

Atlas ディスカバリー では、ダウンロード可能な エージェントを使用して、
検出した 内部証明書を ディスカバリーのインベントリに送信できます。
Windows 版エージェントは、GlobalSign のコードサイニング証明書で署名されています。

内部スキャン用エージェントは、検出した証明書情報を
AWS API Gateway 上の公開 API を通じて Atlas ディスカバリー に送信します。
通常は、ポータルの手順どおりに ダウンロード・有効化するだけで動作しますが、
一部の環境ではパブリック IP アドレスを許可（allowlist）する必要があります。

このリストには、外部 IP アドレスが該当する可能性のある IP アドレス範囲が含まれており、エージェントソフトウェアが Atlas と通信するためには、これらすべてを許可する必要があります。
なお、将来のリリースでは、このリストが不要になる変更を予定しています。