マルチテナント

目的と要件

マルチテナントとは、Deep Security Managerとデータベースサーバの単一のインストールを使用して、複数の異なる管理環境を作成する機能です。マルチテナント環境では、各テナントの設定、ポリシー、およびイベントが完全に分離され、インフラストラクチャの追加拡張オプションがいくつか使用されます。

マルチテナント機能は、組織内で各事業単位を区分けし、実稼働環境への展開前に準備環境でテストしやすいように設計されています。サービスモデル内で顧客にDeep Securityをプロビジョニングすることもできます。

MSSP (Managed Security Service Provider) には、マルチテナントよりも、役割に基づいたアクセス制御の方が、一括管理とレポートの機能があるため、適している場合があります。

Deep Securityのマルチテナント機能を使用するための要件:

任意の要件 (推奨):

アーキテクチャ

Deep Security Managerのマルチテナント機能は、ハイパーバイザと同じように動作します。Deep Security Managerの同じインストール環境内に複数のテナントが存在しても、それぞれのデータは分離されます。すべてのManagerノードで、任意のテナントのGUI、ハートビート、またはジョブの要求が処理されます。バックグラウンド処理については、各テナントに、ジョブの処理待ち、メンテナンス、およびその他のバックグラウンドタスクを処理するManagerノードが割り当てられます。Managerノードが追加されるか、オフラインになると、割り当てられたManagerノードが自動的に再調整されます。各テナントのデータの大部分は別個のデータベースに保存されます。このデータベースは、他のテナントと同じデータベースサーバに共存させることも、専用のデータベースサーバに分離することもできます。いずれの場合も、一部のデータはプライマリデータベース (Deep Security Managerと同時にインストールされたデータベース) だけに保存されます。複数のデータベースサーバが利用可能な場合、テナントは、負荷が最も低いデータベースに作成されます。

単一テナント マルチテナント
管理対象コンピュータ 100,000 1,000,000以上
Deep Security Managerのノード 1-5 1-50
データベース 1 1-10,000
データベースサーバ 1 (複製あり、またはなし) 1-100

マルチテナントを有効にすると、プライマリテナントには、Deep Security Managerの通常のインストールの機能がすべて維持されます。ただし、プライマリテナントがその後作成するテナントについては、システムの構成に基づいて、利用できるDeep Securityの機能を制限できます。

データベースへの各テナントのデータの分割には、次のメリットがあります。

マルチテナントの有効化

マルチテナントを有効にするには、次の手順に従います。

  1. Deep Security Managerで、[管理]→[システム設定]→[詳細] に移動し、[マルチテナントのオプション] エリアで [マルチテナントモードの有効化] をクリックして、マルチテナント設定ウィザードを開きます。
  2. 販売店から受け取ったアクティベーションコードを入力し、[次へ] をクリックします。
  3. 実装するライセンスモードを選択します。
    • プライマリテナントからライセンスを継承: すべてのテナントに、プライマリテナントと同じライセンスを使用します。準備環境のテストにマルチテナントを使用する場合や、同じ企業内の部門ごとにテナントを設定する場合は、このオプションが推奨されます。
    • テナント単位のライセンス: Deep Securityをサービスとして提供する場合はこのモードが推奨されます。この設定を使用する場合、テナントアカウントの作成時 (APIを使用) にライセンスを指定するか、テナント自身がはじめてログオンするときにライセンスを入力します。
  4. [次へ] をクリックして、Deep Security Managerでのマルチテナントの有効化を終了します。
  5. [管理]→[システム設定]→[テナント] 画面が表示されます。マルチテナントのオプションを設定します。設定の詳細については、[管理]→[システム設定]→[テナント] 画面に進み、そのページのオンラインヘルプを参照してください。

テナントの管理

マルチテナントモードを有効にしたら、[管理] →[テナント] 画面からテナントを管理できます。

テナントを作成する

新しいテナントを作成するには、次の手順に従います。

  1. [管理]→[テナント] 画面に移動し、[新規] をクリックして新規テナントウィザードを開きます。
  2. テナントのアカウント名を入力します。アカウント名には、プライマリテナント用に予約されている「Primary」以外の任意の名前を使用できます。
  3. メールアドレスを入力します。メールアドレスは各テナントの連絡先として必要です。また、以降の手順に示す、3つのユーザアカウントの生成方法のうち2つで使用されます。
  4. ロケールを選択します。ロケールによって、Deep Security Managerコンソールの言語が決まります。
  5. タイムゾーンを選択します。テナント関連のイベントは、テナントアカウントのタイムゾーンでテナントのユーザに表示されます。
  6. 複数のデータベースを使用しているDeep Securityインストール環境では、新しいテナントアカウントを格納するデータベースサーバをDeep Securityで自動的に選択するようにするか ([自動 - 設定なし])、特定のサーバを指定できます。
    新しいテナントの受け入れを停止しているデータベースサーバは、このリストには含まれません。また、データベースが1つだけの場合、このオプションは表示されません。
    選択したら、[次へ] をクリックして続行します。
  7. 新しいテナントアカウントの最初のユーザのユーザ名を入力します。
  8. 次の3つのパスワードオプションのうち1つを選択します。
    • メールなし: テナントの最初のユーザのユーザ名とパスワードをここで定義します。メールは送信されません。
    • 確認リンクをメール: テナントの最初のユーザのパスワードをここで設定します。ただし、ユーザがメールで受け取る確認のリンクをクリックするまでアカウントは有効になりません。
    • 生成したパスワードをメール: パスワードを指定せずにテナントを生成できます。このオプションは、管理者がアクセスする必要のないアカウントをユーザ用に手動で作成する場合に適しています。
    確認オプションは、一般ユーザが登録する場合に適した方法を提供します。テナントの作成者がプログラムではなく人であることを確認する方法としては、CAPTCHAが推奨です。メール確認によって、ユーザがアカウントにアクセスする前に、指定されたメールアドレスがユーザのものであることを確認できます。
  9. [次へ] をクリックしてウィザードを終了し、テナントを作成します。新しいテナントデータベースを作成されてデータとサンプルポリシーが登録されるまで、30秒～4分程度かかる場合があります。

テナントに送信されるメッセージの例

確認リンクをメール: アカウント確認要求

Deep Securityへようこそ。アカウントの使用を開始するには、次の確認用URLをクリックしてください。パスワードを入力するとコンソールにアクセスできます。
アカウント名: AnyCo
ユーザ名: admin
アカウントを有効にするには次のURLをクリック:
https://managername:4119/SignIn.screen?confirmation=1A16EC7A-D84F-D451-05F6-706095B6F646&tenantAccount=AnyCo&username=admin

生成したパスワードをメール
1通目のメール:アカウントとユーザ名の通知

Deep Securityへようこそ。新しいアカウントが作成されました。パスワードは別のメールでお知らせします。

アカウント名: AnyCo
ユーザ名: admin
Deep Securityの管理コンソールは次のURLからアクセスできます:
https://managername:4119/SignIn.screen?tenantAccount=AnyCo&username=admin

2通目のメール:パスワード通知

Deep Securityアカウント用に自動生成されたパスワードをお知らせします。アカウント名とユーザ名、Deep Securityの管理コンソールにアクセスするためのリンクを別のメールでお知らせします。

パスワード: z3IgRUQ0jaFi

テナントの管理

[テナント] 画面 ([管理]→[テナント]) に、全テナントのリストが表示されます。テナントのステータスは次のいずれかです。

テナントのプロパティ

テナントをダブルクリックすると、テナントの [プロパティ] 画面が表示されます。

一般

テナントのロケール、タイムゾーン、および状態を変更できます。タイムゾーンとロケールを変更しても、既存のテナントユーザには反映されません。テナント内の新規ユーザ、イベント、およびユーザ固有ではないUIのその他の部分にだけ反映されます。

データベース名は、このテナントに使用されているデータベースの名前です。ハイパーリンクから、データベースが実行されているサーバにアクセスできます。

モジュール

[モジュール] タブには、保護モジュールの表示に関するオプションがあります。初期設定では、ライセンス許可されていないモジュールはすべて非表示になります。この設定は、[ライセンス許可されていないモジュールを常に非表示] をオフにすることで変更できます。選択したモジュールをテナント単位で表示することもできます。

[プライマリテナントからライセンスを継承] を選択した場合、プライマリテナントにライセンス許可されているすべての機能がすべてのテナントに表示されます。表示オプションを選択することで、各テナントに表示されるモジュールを調整できます。

テナント単位のライセンスを使用している場合、初期設定では各テナントにライセンス許可されているモジュールだけが表示されます。

テスト環境でDeep Securityを評価し、完全なマルチテナント環境がどのようなものかを確認する場合は、マルチテナントのデモモードを有効にできます。デモモードの場合、Managerは、シミュレートされたテナント、コンピュータ、イベント、アラート、およびその他のデータをデータベースに入力します。最初に7日分のデータが生成されますが、その後も、Managerの [ダッシュボード]、[レポート]、および [イベント] の各画面にデータを入力するために新しいデータが継続的に生成されます。

デモモードは、実稼働環境での使用を目的としたものではありません。
統計

[統計] タブには、データベースのサイズ、処理済みジョブ、ログオン、セキュリティイベント、システムイベントなど、現在のテナントに関する情報が表示されます。グラフは、過去24時間のデータを示します。

Agentの有効化

[Agentの有効化] タブには、このテナントのコンピュータでAgentを有効にするためのコマンドが表示されます。このコマンドは、Agentのインストールディレクトリから実行できます。Agentが有効になると、テナントはDeep Security Managerを使用して、ポリシーの割り当てやその他の設定を実行できます。

主担当者の連絡先

テナントアカウントユーザのDeep Security使用環境

テナントのユーザ環境

マルチテナントが有効になっている場合、ログオンページに追加の [アカウント名] テキストフィールドが表示されます。

テナントは、ユーザ名とパスワードに加えてアカウント名を入力する必要があります。アカウント名があるので、ユーザ名が重複していてもかまいません(たとえば、複数のテナントが同じActive Directoryサーバと同期する場合)。

プライマリテナントがログインするときは、アカウント名を空白のままにするか、「Primary」と入力します。

テナントユーザは、Deep Security Manager UIの一部の機能を使用できません。次の画面は、テナントには表示されません。

テナントからは、プライマリテナントのマルチテナント機能や、他のテナントのデータは確認できません。また、プライマリテナントの権限が必要な一部のAPIも制限されます (テナントの作成など)。

テナントユーザが使用できる機能と使用できない機能の詳細については、[管理]→[システム設定]→[テナント] を参照してください。

テナントは、複数のユーザアカウントに役割に基づいたアクセス制御を使用して、アクセスをさらに分割することもできます。また、ユーザのActive Directory統合を使用して、認証をドメインに委任することもできます。この場合も、テナントの認証にテナントのアカウント名が必要です。

Agentからのリモート有効化

Agentからのリモート有効化は、すべてのテナントで初期設定で有効になっています。

プライマリテナントにおけるAgentからのリモート有効化とは異なり、テナントユーザが有効化を実行するには、パスワードとテナントIDが必要です。

Agentからのリモート有効化に必要なこれらの情報を確認するには、[管理]→[アップデート]→[ソフトウェア]→[ローカル] をクリックし、Agentソフトウェアを選択して、[インストールスクリプトの生成] ボタンをクリックします。WindowsコンピュータにおけるAgentからのリモート有効化のスクリプトの例を次に示します。

dsa_control -a dsm://manageraddress:4120/ "tenantID:7156CF5A-D130-29F4-5FE1-8AFD12E0EC02" "tenantPassword:98785384-3966-B729-1418-3E2A7197D0D5"

テナントの診断

Managerの診断パッケージに含まれるデータは機密性が高いので、テナントからこのパッケージにアクセスすることはできません。ただし、テナントは、コンピュータエディタを開き、[概要] 画面の [処理] タブで [診断パッケージの作成] を選択することで、Agentの診断情報を生成することができます。

使用状況の監視

Deep Security Managerでは、テナントの使用状況に関するデータが記録されます。この情報は、ダッシュボードのテナントの保護アクティビティウィジェット、テナントの [プロパティ] 画面の [統計] タブ、およびチャージバックレポートに表示されます。

このチャージバック (またはショーバック) 情報をカスタマイズして、レコードに含める属性を指定できます。この設定は、サービスプロバイダ環境で必要な、さまざまな課金モデルに対応するように設計されています。企業では、事業単位ごとの使用状況を確認する場合に便利です。

マルチテナントのダッシュボード/レポート

マルチテナントが有効になっているとき、プライマリテナントのユーザには、テナントの使用状況を監視できるダッシュボードウィジェットが追加されます。

テナント関連のウィジェットの例

同じ情報を、[管理]→[テナント] 画面 (一部はオプションの列) と、テナントの [プロパティ] 画面の [統計] タブで確認できます。

この情報によって、システム全体の使用状況を監視し、異常の兆候を検出することができます。たとえば、1つのテナントでセキュリティイベントアクティビティが急増している場合、攻撃を受けている可能性があります。

チャージバックレポートには、さらに詳細な情報が含まれます ([イベントとレポート] セクション)。このレポートは、保護時間、現在のデータベースサイズ、コンピュータの台数 (有効および無効) をテナントごとに示します。