APIドキュメント
日本語

目次

エージェント/エージェントレスデプロイ

概要

TLS Connectは、WindowsまたはLinuxサーバーに証明書をデプロイするためのソフトウェアエージェントとエージェントレス機能の両方を提供しています。ほとんどのネットワーク環境ではソフトウェアエージェントで十分ですが、環境によっては「エージェントレス」機能を使用して証明書をデプロイする必要がある場合があります。

※この機能はプレミアムライセンスのみでご利用いただけます。 

Automationエージェントの設定

TLS Connectで他のWindowsまたはLinuxサーバーに証明書をデプロイする場合、サーバーがTLS Connectと通信できるようにエージェントが必要です。エージェントファイル（agent.exe）はオンボーディングプロセス中に営業担当からお渡しいたします。ファイルが見当たらない場合は、営業担当にお問い合わせください。

  1. 対象サーバーにagent.exeファイルを配置します。対象サーバーはTLS Connectインスタンスが存在するサーバーと同じネットワーク上にある必要があります。
  2. agent.exeファイルと同じサーバーでテキストエディターを開き、以下のテキストをファイルに貼り付けます。​​​​ 
    { 
  "Hub": { 
    "BaseUrl": "http://127.0.0.1:5086" 
  }, 
  "Auth": { 
    "Mode": "Hmac" 
  }, 
  "Polling": { 
    "IntervalSeconds": 3 
  } 
}

  3. BaseUrlをサーバーのIPアドレスとポート番号に変更します。 

  4. 必要に応じて、「IntervalSeconds」の値を変更することで、エージェントがTLS Connectと通信する頻度を変更できます。

  5. ファイルを「agent.json」という名前で保存します。 

  6. agent.exeファイルを実行してエージェントの設定を確認します。返されたメッセージに「No task. Polling will stay quiet until a task arrives.」と表示された場合、エージェントは正常に動作しており使用可能な状態です。

  7. TLS Connectアプリケーションを開き、「Automation」 > 「Agent Hub Logs」に移動して、接続済みサーバーを確認します。「Refresh Logs」をクリックすることでサーバーのステータスを確認できます。

Automationエージェントの無効化

自動化エージェントを無効化するには、次の2つの方法があります。

  1. エージェントのWindowsサービスを「停止」するか、完全に削除することができます。エージェントのステータスはTLS Connect UIに反映されます。
  2. TLS Connect UIからエージェントを恒久的に無効化することができます。

    1. TLS Connectアプリケーションを開き、「Automation」 > 「Server Profiles」タブに移動します。

    2. サーバーを選択し、「Delete Selected」をクリックします。これによりエージェントがサーバーから恒久的に削除されます。この操作は元に戻すことができません。削除したエージェントを再度追加する場合は、新しい認証情報でサーバーに再登録する必要があります。

 

エージェントレス証明書デプロイ機能の設定

TLS ConnectはエージェントレスによるTLS証明書のデプロイ機能を提供しています。これにより、TLS Connectエージェントを設定・インストールすることなく、サーバーがTLS証明書をダウンロードして自動更新できます。この機能は以下の環境に最適です。

  • 古いglibc（.NETエージェントと非互換）を使用しているレガシーLinuxサーバー

  • ソフトウェアのインストールが許可されていないWindowsサーバー

  • curl/PowerShellを実行できるネットワークアプライアンス、ロードバランサー、または組み込みシステム

  • セキュリティポリシーにより常駐バックグラウンドエージェントが禁止されている環境

  • 新しいサーバーへの1回限りの証明書デプロイ

前提条件 

  • TLS Connectの内部ハブサービスがポート5086で稼働し、アクセス可能であること。 

  • 証明書がサーバープロファイルに割り当てられていること。詳細については、こちらをご参照ください。

  • 対象サーバーでcurl（Linux）またはPowerShell（Windows）が使用可能であること。

エージェントレス機能の設定 

以下の手順はプロファイルごとに1回実施します。

  1. 「Automation」 > 「Server Profile」に移動します。

  2. 対象サーバーに証明書を配布するプロファイルを選択または作成します。

    1. 新しいプロファイルを作成する必要がある場合は、こちらをご参照ください。

    2. エージェントレス機能を追加したい既存のプロファイルがある場合は、リストからそのプロファイルを選択します。

  3. 「+ Add Targets」を選択し、「Add Agentless Server (token-based)」をクリックします。

  4. Agentless Serversモーダルウィンドウで、対象サーバーのソフトウェアに合ったファイル形式を選択し、認証情報を設定します。 

    1. PFX（Windows IIS、Windowsサービス、.NETアプリケーション向け）を選択する場合は、ダウンロードパスワードを入力します。これはcertutilが証明書をインポートする際に必要です。

    2. PEM（nginx、Apache、HAProxy、Linuxベースのウェブサーバー向け）を選択する場合は、必要に応じて「Encrypt PEM key」にチェックを入れ、秘密鍵を保護するパスワードを設定できます。

    3. JKS（Apache Tomcat、Javaアプリケーション向け）を選択する場合は、ダウンロードパスワードを入力します。これはJava keytoolが使用する際に必要です。また、エイリアス名も入力します。

  5. 「+ Add Single Server」を選択した状態で、対象サーバーのIPアドレスを入力します。（IP Address）

  6. オペレーティングシステム（OS）の種類（Linux / Windows）を選択します。（OS Type）

  7. サーバーの識別名（フレンドリーネーム）を入力します。（Label）

  8. 「Add Server」をクリックします。 
    追加後は「Registered Servers」の一覧に表示されます。

  9. 追加のサーバーがある場合は上記の手順を繰り返すか、「+ Bulk Import」を選択して「ip,OS,label」の形式で複数のサーバーを一度に設定することが可能です。

  10. サーバーの追加が完了したら、「Save」をクリックします。トークンとサーバーリストがAutomationプロファイルに保存されます。
    ※「Server Profiles」の画面に「Agentless (token-based): 1 server registered」が表示されていれば登録完了です。

エージェントレス機能を使用

まず、対象サーバーに合った適切なスクリプトを取得します。

  1. サーバープロファイルから、Target Serversセクションのエージェントレスバーの横にある「Manage」を選択します。

  2. 「Show curl / PowerShell」を選択します。 

  3. LinuxおよびWindows環境両方のスクリプトが表示されたモーダルウィンドウが開きます。「Copy」をクリックしてスクリプトをクリップボードにコピーします。

次に、対象サーバーにスクリプトをインストールします。この手順はサーバーの種類によって若干異なります。