Microsoft の Just Enough Administration (JEA) ディスカバリー
Microsoft JEA を ディスカバリー とともに使用すると、制約のあるエンドポイントを介してリモートWindowsコマンドを MID サーバー が実行するように強制することで、セキュリティが向上します。これにより、実行前にターゲット上のコマンドが検証されます。
Microsoft JEA は、 Windows Remote Management (WinRM) を使用して通信と認証を管理する PowerShell リモート処理を通じてロールベースの管理を可能にします。このフレームワークは、HTTP プロトコルを使用するコンピューターを管理するための安全で信頼性の高い方法を提供します。PowerShell リモート処理は、HTTP と HTTPS 用に 2 つの合計ポート (5985、5986) を使用するため、WMI 動的ポート マッピングで使用される複数のポートよりも簡単に保護できます。Microsoft JEA の詳細については、「Just Enough Administration」を参照してください。
JEA との ディスカバリー の要件
- Rome リリース以降で実行されている ServiceNow インスタンス。
- MID サーバーとターゲットサーバーはWindowsドメインの一部である必要があります。
- アドミニストレーター以外の権限を持つ JEA 認証情報は、ドメインレベルの認証情報である必要があります。
- PowerShell 5.0 または Windows Management Framework 5.1 がターゲット Windows マシンにインストールされている必要があります。
- ターゲット Windows マシンで PowerShell リモート機能を有効にする必要があります。
JEA プロファイル
ディスカバリー JEA を使用するには、PowerShell セッション構成と 1 つ以上の PowerShell ロール機能ファイルで構成されるプロファイルが必要です。複数の PowerShell ロール機能ファイルと複数のユーザーグループを作成し、必要に応じてさまざまなグループにロールを割り当てることができます。KB0965705 でリファレンス実装として提供されているサンプルプロファイルは、ひな型として利用できます。KB の構成ファイルは、作成時にすぐに利用可能なすべての水平 Windows パターンをサポートしています。 ServiceNow は、リモートマシンでの JEA プロファイルの展開とセットアップについて責任を負わないものとします。
次のサンプルプロファイルでは、MID サーバーユーザーが信頼できるMID サーバーによって署名されたスクリプトのみを実行するように制限することで、Windowsサービスアカウントが侵害された場合に攻撃者をブロックすることでセキュリティを向上させます。プロファイルが展開されると、 MID サーバー と Windows ターゲット間の接続は、 MID サーバーによって作成されたスクリプトとパラメーターの署名によって保護されます。これにより、1 つのセキュリティ層が提供されます。ただし、 ServiceNow インスタンスと MID サーバー 自体の監視も、安全な展開を促進するために不可欠です。
サンプル JEA プロファイルを使用した基本ディスカバリー
KB0965705 で提供されているサンプル JEA プロファイルは、多くの基本構成アイテム (CI) と属性を検出するように構成されています。プロファイルは変更可能であり、JEA による ディスカバリー のベースラインとしてのみ機能します。
- ホスト名
- DNS 名
- シリアル番号
- オペレーティングシステム
- OS バージョン
- OS サービスパック
- ディスクスペース
- RAM
- CPU コア数
- CPU カウント
- CPU メーカー
- CPU タイプ
次の CI が含まれます。
- ネットワークアダプター (cmdb_ci_network_adapter)
- ファイルシステム (cmdb_ci_file_system)
- ストレージデバイス (cmdb_ci_disk)
- インストール済みソフトウェア (cmdb_software_instance)
- 実行中のプロセス (cmdb_running_process)
- メモリモジュール (cmdb_ci_memory_module)
- シリアル番号 (cmdb_serial_numbers)
- TCP/IP 接続 (cmdb_tcp)
- CI の IP (cmdb_ci_ip_address)
- CI の DNS 名 (cmdb_ci_dns_name)
- Windows クラスター (cmdb_ci_win_cluster、cmdb_ci_win_cluster_node、cmdb_ci_win_cluster_resource)
- 記録対象構成ファイル (cmdb_ci_config_file_tracked)
次のアプリケーション CI も検出できます。
- MSSQL DB on Windows (cmdb_ci_db_mssql_instance)
- Windows (cmdb_ci_db_mysql_instance) 上の MySQL DB
- OracleWindows上の DB (cmdb_ci_db_ora_instance)
- WebSphere on Windows (cmdb_ci_app_server_websphere)
サンプルプロファイルでの ディスカバリー には、次のプローブとパターンが使用されます。
- Windows - 分類 (プローブ)
- Windows OS - サーバー (パターン)
- Windows OS - デスクトップ (パターン)
- Windows - インストール済みソフトウェア (プローブ)
- Windows - ADM (マルチプローブ)
- MySQL サーバー Windows 時 (パターン)
- MS SQL DB オン Windows (パターン)
- OracleWindows上の DB (パターン)
- Windows - WebSphere - セル (プローブ)
- Windows - WebSphere - Web アプリケーション (プローブ)
- Windows - WebSphere - Web サービス (プローブ)
JEA を使用したディスカバリーのためのインスタンスの準備
Microsoft Just Enough Administration (JEA) を使用して ServiceNow® インスタンスを ディスカバリー に対して構成するには、ドメイン名を使用して Windows 資格情報を定義し、MID サーバー 設定パラメータ―を適切に設定します。
始める前に
手順
- 移動先 をクリックし、[ 新規] をクリックします。
- 使用可能な認証情報タイプのリストで [Windows 資格情報] を選択します。
- この形式を使用して、[ユーザー名] に対してアドミニストレーター以外の認証情報を作成します：domain\user name。
- レコードを送信します。
- 移動先 .
- MID サーバーのリストから、設定する [MID サーバー] を選択します。
- [設定パラメーター] 関連リストを選択します。
-
次のように MID サーバー構成パラメーターを設定します。
- オプション:
問題のトラブルシューティングを行うには、次の MID サーバーのプロパティとシステムのプロパティを使用します。