SMBファイル システムにアクセスするためのホストの構成

Transcription

1 Dell EMC Unity ファミリー バージョン 4.2 SMB ファイルシステムにアクセスするためのホストの構成 P/N REV 02

2 Copyright Dell Inc. その関連会社 All rights reserved. ( 不許複製 禁無断転載 ) 2017 年 7 月発行 掲載される情報は 発信現在で正確な情報であり 予告なく変更される場合があります 本文書に記載される情報は 現状有姿 の条件で提供されています 本文書に記載される情報に関する どのような内容についても表明保証条項を設けず 特に 商品性や特定の目的に対する適応性に対する黙示的保証はいたしません この資料に記載される いかなる Dell ソフトウェアの使用 複製 頒布も 当該ソフトウェア ライセンスが必要です Dell EMC および Dell または EMC が提供する製品及びサービスにかかる商標は Dell Inc. またはその関連会社の商標又は登録商標です その他の商標は 各社の 商標又は登録商標です Published in the USA. EMC ジャパン株式会社 東京都渋谷区代々木 新宿マインズタワー お問い合わせは 2 Unity ファミリー 4.2 SMB ファイルシステムにアクセスするためのホストの構成

3 目次 序文 5 第 1 章 SMB ストレージ向けホストのセットアップ 7 ホストをセットアップするための要件...8 概要...8 システム要件...8 ネットワークの条件... 8 Windows ドメインに含まれる SMB NAS サーバー... 9 スタンドアロン SMB NAS サーバー... 9 SMB 環境のホストソフトウェア... 9 Common AntiVirus Agent...9 管理スナップイン...10 SMB のホストソフトウェアのインストール Windows Continuous Availability の使用 ネットワーク高可用性の使用...12 リンク統合 リンクアグリゲーションの構成...13 SMB 暗号化の使用 SMB ファイルシステムストレージの構成...15 SMB 共有に対するユーザーアクセスの構成 SMB 共有のマッピング 第 2 章 Unity ストレージシステムへの SMB データの移行 19 移行の環境と制限事項 データの移行 SMB ホストの Unity 共有へのアクセスのセットアップ 手動コピーによるデータの移行 第 3 章 Windows ツールによる SMB ファイルシステムストレージの管理 23 コンピューターの管理 MMC を開く...24 共有の作成と ACL の設定 既存の共有に対する ACL の設定 共有の作成と ACL の設定 ホームディレクトリ機能の使用 ホームディレクトリの制限...26 Active Directory でのユーザープロファイルの設定...26 正規表現を使用したホームディレクトリの追加 グループポリシーオブジェクトの使用 NAS サーバーでの GPO サポート...29 サポートされる GPO 設定...29 SMB 署名の使用 NAS サーバーの接続およびリソース使用のモニタリング...30 NAS サーバーのユーザーの監視...30 Unity ファミリー 4.2 SMB ファイルシステムにアクセスするためのホストの構成 3

4 目次 NAS サーバー上の共有へのアクセスの監視...31 NAS サーバーでのファイル使用の監視...31 SMB ユーザーおよびオブジェクトの監査 NAS サーバーでの監査の有効化...33 監査イベントの表示 監査の無効化 NAS サーバーのセキュリティログへのアクセス 共有スナップショットのコピー 共有スナップショットのリストア 第 4 章 Unity による CEE CAVA の使用 39 CAVA の概要...40 Unity NAS サーバー...40 CEE CAVA ウイルスチェッククライアント...40 サードパーティ製ウイルス対策ソフトウェアのサポート...41 CEE CAVA ソフトウェア...41 EMC Unity/VNX/VNXe NAS 管理スナップイン システム要件と制限事項...41 SMB 以外のプロトコル NAS サーバでの CEE CAVA のセットアップ...42 ドメインユーザーアカウントの構成 ウイルスチェッカーパラメーターの構成 サードパーティ製ウイルス対策ソフトウェアのインストール CEE CAVA のインストール...50 CEE AV エンジンの起動...50 第 5 章 Unity での CEE Events Publishing の使用 53 Events Publishing の概要 Events Publishing の制約と制限事項...55 CEE CEPA のインストール...55 Events Publishing の設定 Unity ファミリー 4.2 SMB ファイルシステムにアクセスするためのホストの構成

5 関連資料 改善努力の一環として ソフトウェアおよびハードウェアのリビジョンを定期的にリリースしています そのため このドキュメントで説明されている機能の中には 現在お使いのソフトウェアまたはハードウェアのバージョンによっては サポートされていないものもあります 製品のリリースノートには 製品の機能に関する最新情報が掲載されています 製品が正常に機能しない またはこのマニュアルの説明どおりに動作しない場合には テクニカルサポートプロフェッショナルにお問い合わせください 問い合わせ先 EMC のサポート情報 製品情報 ライセンス情報は 次の場所で入手できます 製品情報製品と機能に関するドキュメントやリリースノートについては documentation/unity-family.htm にある Unity テクニカルドキュメントを参照してください トラブルシューティング製品 ソフトウェアアップデート ライセンス サービスに関する情報については オンラインサポート 登録が必要です ) をご覧ください ログインした後 適切な [[Support by Product]] ページをご覧ください テクニカルサポートテクニカルサポートとサービスリクエストについては オンラインサポート ( Support.EMC.com) にアクセスしてください ログイン後 [ サービスリクエストの作成 ] を見つけてください サービスリクエストを利用するには 有効なサポート契約が結ばれている必要があります 有効なサポート契約を結ぶ方法の詳細や アカウントに関するご質問については 販売担当者にお問い合わせください このマニュアルで使用される特記事項の表記規則 回避しなかった場合に死亡または重傷を招く危険な状況を示します 回避しなかった場合に死亡または重傷を招く可能性がある危険な状況を示します 回避しなかった場合に軽度または中程度の傷害を招く可能性がある危険な状況を示します 負傷に関連しない作業を示します 重要ではあるが 危険ではない情報を表します Unity ファミリー 4.2 SMB ファイルシステムにアクセスするためのホストの構成 5

6 関連資料 6 Unity ファミリー 4.2 SMB ファイルシステムにアクセスするためのホストの構成

7 第 1 章 SMB ストレージ向けホストのセットアップ 本章は 次のトピックで構成されています ホストをセットアップするための要件... 8 SMB 環境のホストソフトウェア...9 Windows Continuous Availability の使用...12 ネットワーク高可用性の使用 SMB 暗号化の使用...15 SMB ファイルシステムストレージの構成 SMB 共有に対するユーザーアクセスの構成...16 SMB 共有のマッピング...16 SMB ストレージ向けホストのセットアップ 7

8 SMB ストレージ向けホストのセットアップ ホストをセットアップするための要件 概要 システム要件 ネットワークの条件 Unity ストレージを使用するようにホストをセットアップする前に これらのシステムおよびネットワーク要件を満たす必要があります Unity ストレージを使用するようにホストをセットアップする前に 次のストレージシステムおよびネットワーク要件を満たしている必要があります このトピックでは このマニュアルの目的と対象読者について説明し 関連ドキュメントの一覧を紹介します このドキュメントは Unity マニュアルセットの一部です Unity システム上の SMB( サーバーメッセージブロック ) ファイルシステムストレージにアクセスする必要があるクライアントと Windows ホストをセットアップする方法について説明します このドキュメントは Unity ストレージにアクセスするホストのセットアップを担当するユーザーを対象としています このドキュメントの読者には Unity SMB ファイルシステムストレージと Unity SMB ファイルシステムストレージにアクセスするクライアントが接続するホスト上で動作している Windows オペレーティングシステムに精通していることが求められます 他には 次のような Unity ドキュメントがあります インストールガイド ハードウェア情報ガイド Configuring Hosts to Access NFS File Systems Configuring Hosts to Access Fibre Channel (FC) or iscsi LUNs Configuring Hosts to Access VMware NFS or VMware VMFS Datastores Unisphere CLI ユーザーガイド Unisphere のヘルプでは Unity のストレージ 機能 特徴に固有の情報が得られます ストレージシステムにアクセスするようにホストを構成する前に 次の要件を満たしていることを確認します 次のタスクを実行してから ホストをストレージシステムに接続してください [ 初期構成 ] ウィザードを使用してシステムをインストールし 構成します Unisphere または CLI を使用して ストレージシステム上の NAS サーバーまたはインターフェイス あるいは iscsi または FC( ファイバーチャネル )LUN を構成します このトピックでは ストレージシステムに接続するホストのネットワーク要件を示します 以下のネットワーク要件を確認して使用してください NAS サーバーが存在する LAN 環境にホスト ( クライアント ) が存在する必要があります 8 Unity ファミリー 4.2 SMB ファイルシステムにアクセスするためのホストの構成

9 SMB ストレージ向けホストのセットアップ NAS サーバーは Windows Active Directory ドメインにメンバーとして参加させることも 他のどのような Windows ドメインからも独立したスタンドアロン SMB サーバーとして動作させることもできます Windows Active Directory ドメイン内の SMB 共有については DNS と NTP を構成する 必要もあります NAS サーバーがマルチプロトコル (SMB と NFS) に対して有効になっている場合は NIS または LDAP プロトコル ローカルファイル またはローカルファイルと UDS を使用して UDS(UNIX ディレクトリサービス ) を構成します Unity で UNIX ディレクトリサービス (NIS または LDAP) を構成する方法については Unisphere オンラインヘルプを参照してください Windows ドメインに含まれる SMB NAS サーバー スタンドアロン SMB NAS サーバー このトピックでは Windows Active Directory ドメインに含まれる SMB NAS サーバーについて説明します Active Directory が有効な SMB NAS サーバーでは 以下のことを実行できます ドメインベースの Kerberos 認証の使用 SMB 環境のホストソフトウェア Common AntiVirus Agent ドメイン内での独自の ID( コンピューターアカウント ) の保持 ドメインサイトの情報を活用した ドメインコントローラなどのサービスの検索 SMB NAS サーバーを Windows ドメインに関連づけると ドメイン内のすべてのユーザーが SMB サーバーに接続できます さらに Active Directory サーバーで保持されている認証および許可の設定が SMB ファイルシステム上のファイルとフォルダーに適用されます Active Directory が有効な SMB NAS サーバーには AD(Active Directory) サーバーおよび DNS サーバーがセットアップされた Windows ドメインが必要です NTP を構成する必要もあります このトピックでは スタンドアロン SMB NAS サーバーについて説明します スタンドアロン SMB NAS サーバーは Windows ドメインおよび Windows ドメインに関連するサービスのいずれにもアクセスできません スタンドアロン SMB NAS サーバーで作成および管理されているローカルユーザーアカウントを持つユーザーだけがサーバーにアクセス可能であり SMB サーバーがユーザー認証を行います スタンドアロン SMB NAS サーバーには Windows ワークグループが必要です このトピックでは SMB 環境内の Unity システムのホストソフトウェアについて概要を説明します このセクションでは SMB 環境の Unity システムで使用できるホストソフトウェアについて解説し Unity SMB ファイルシステムストレージを使用するホスト上にこのソフトウェアをインストールする方法について説明します このトピックでは Unity システムを使用した SMB クライアント用アンチウイルスソリューションについて説明します CAVA(Common AntiVirus Agent) は Unity システムを使用する SMB クライアントにウイルス対策ソリューションを提供します このソリューションは サードパーティウイルス対策ソフトウェアを使 Windows ドメインに含まれる SMB NAS サーバー 9

10 SMB ストレージ向けホストのセットアップ 用して 既知のウイルスがシステム上のファイルに感染する前に特定して排除します CAVA は CEE(Common Event Enabler) ソフトウェアパッケージに含まれています CAVA がサポートするサードパーティ製ウイルス対策ソフトウェアについては サポート用 Web サイトにある Unity サポートマトリックスを参照してください Enabler のインストールについては サポート用 Web サイトの Using the Common Event Enabler on Windows Platform を参照してください 管理スナップイン ホームディレクトリ管理スナップイン NAS サーバー管理スナップイン このトピックでは Unity NAS サーバーをサポートする管理スナップインを示します NAS サーバーでは 以下の MMC(Microsoft Management Console) スナップインで構成される Unity NAS 管理スナップインがサポートされています これらのスナップインは Windows コンピューターから NAS サーバー上のホームディレクトリ セキュリティ設定 ウイルスチェックを管理する際に使用できます ホームディレクトリ管理スナップイン NAS サーバー管理スナップイン ウイルス対策管理スナップイン このトピックでは ホームディレクトリ機能により 個人共有の管理を合理化する方法について説明します ホームディレクトリ管理スナップインを使用すると ユーザー名をディレクトリに関連づけることができます このディレクトリはユーザーのホームディレクトリとなります ホームディレクトリ機能によって すべてのユーザーが接続可能な HOME という単一の共有名を使用できるため 個人の共有の管理 およびこれらの共有に接続するプロセスが簡素化されます このトピックでは NAS サーバー管理スナップインの監査ポリシーおよびユーザー権限の割り当てノードを使用する方法について説明します 監査ポリシーノード NAS サーバーのセキュリティ設定の監査ポリシーノードを使用すると セキュリティログに記録された NAS サーバーのセキュリティイベントを確認できます その後 Windows Event Viewer を使用してセキュリティログを表示できます 成功した試行を記録するか 失敗した試行を記録するか その両方を記録するか いずれも記録しないかを決定できます 監査ポリシーノードに表示される監査ポリシーは [ アクティブドメインユーザーとコンピューター ] で GPO( グループポリシーオブジェクト ) として使用可能なポリシーのサブセットです 監査ポリシーは 選択された NAS サーバーだけに適用されるローカルポリシーです 監査ポリシーノードを使用して GPO 監査ポリシーを管理することはできません ユーザー権限割り当てノードユーザー権限割り当てノードを使用すると どのユーザーとグループに NAS サーバーへのログイン権限やタスクの実行権限を付与するかを管理できます ユーザー権限割り当てノードに表示されるユーザー権限割り当ては [ アクティブドメインユーザーとコンピューター ] で GPO として使用可能なユーザー権限割り当てのサブセットです ユーザー権限割り当ては 選択した NAS サーバーだけに適用されるローカルポリシーです ユーザー権限割り当てノードを使用して GPO ポリシーを管理することはできません 10 Unity ファミリー 4.2 SMB ファイルシステムにアクセスするためのホストの構成

11 SMB ストレージ向けホストのセットアップ 共通ウイルス対策管理スナップイン SMB のホストソフトウェアのインストール 共通ウイルス対策管理スナップインを使用すると CAVA(Common AntiVirus Agent) およびサードパーティウイルス対策プログラムで使用されるウイルスチェックパラメーター (viruschecker.conf ファイル ) を管理できます このトピックでは Unity SMB 環境用にインストールできるホストソフトウェア 各ソフトウェアパッケージの目的 パッケージをインストールできるシステム インストール手順を示します 表 1 Unity SMB 環境用のホストソフトウェア ソフトウェア ホームディレクトリ管理スナップイン NAS サーバー管理スナップイン CEE ウイルス対策管理スナップイン ソフトウェアをインストールする目的 ユーザーホームディレクトリを管理する セキュリティログの NAS サーバーセキュリティイベントを監査し NAS サーバーに対するユーザーおよびグループのアクセスおよびタスク権限を管理する CAVA およびサードパーティウイルス対策プログラムと連携して使用するウイルスチェックパラメーターを管理する インストール先 ドメイン内の Unity NAS サーバーの管理に使用する Windows システム ドメイン内の Unity NAS サーバーの管理に使用する Windows システム Unity ストレージを使用する Windows システム AV( ウイルス対策 ) サーバーである 1 つ以上の Windows ホストが必要 これらの AV サーバーは Unity ストレージを使用するホストの役割を果たすことも可能 SMB 環境のホストソフトウェアを Unity ホストにインストールするには 以下の手順に従います 手順 1. 管理者権限を持つアカウントでホストにログインします 2. 以下の手順に従って インストールするソフトウェアパッケージをダウンロードします a. オンラインサポート Web サイトで ホストソフトウェアのソフトウェアダウンロードセクションに移動します b. インストールするソフトウェアパッケージを選択し ソフトウェアをホストに保存するオプションを選択します 3. ソフトウェアを保存したディレクトリで実行可能形式のファイルをダブルクリックし インストールウィザードを起動します 4. [ 製品のインストール ] ページで ホストにインストールするソフトウェアパッケージを選択します 5. [ 次へ ] をクリックしてプログラムファイルのデフォルトの場所を受け入れます または フォルダのパスを入力するか [ 変更する ] をクリックしてフォルダを参照し 終了したら [ 次へ ] をクリックして別の場所を指定します 6. [ ようこそ ] ページで [ 次へ ] をクリックします SMB のホストソフトウェアのインストール 11

12 SMB ストレージ向けホストのセットアップ 7. [ 使用許諾契約書 ] ページで [ はい ] をクリックします 8. [ インストール先フォルダーの選択 ] ページで プログラムファイルのインストール先のフォルダー名が表示されていることを確認し [ 次へ ] をクリックします 別のフォルダーを選択するには [ 参照 ] を選択してフォルダーを見つけ [ 次へ ] をクリックします 9. [ コンポーネントの選択 ] ページで インストールするソフトウェアパッケージ ( コンポーネント ) を選択し インストールしないコンポーネントはクリアして [ 次へ ] をクリックします 10. [ ファイルのコピーの開始 ] ページで [ 次へ ] をクリックします 11. [InstallShield ウィザードの終了 ] ページで [ 完了 ] をクリックします 12. インストールが完了したら ホストを再起動します Windows Continuous Availability の使用 ネットワーク高可用性の使用 リンク統合 Windows 8 以降の Windows 環境では SMB リソースに高可用性の機能を追加できます Windows CA では このプロパティを持つ共有に接続されたホストで実行されるアプリケーションで 透過的なサーバーフェイルオーバーを実装できます この実装では フェイルオーバー時間がアプリケーションのタイムアウトよりも短くなります この実装環境では フェイルオーバーイベントの発生後もホストが引き続き SMB リソースにアクセスでき SMB のセッション状態が失われることはありません I/O サイズの拡大 オフロードコピー 同セッションでの並列 I/O ディレクトリリーシングなどの機能は パフォーマンスおよびユーザー操作を向上させます Windows CA が共有で有効になっている場合は 共有へのすべての I/O 書き込みが同期ライトスルー操作として扱われます このトピックでは リンク統合を使用して高可用性を構成する方法について説明します Unity システムではリンク統合がサポートされており これによって 最大 4 個の Ethernet ポートを同じ物理スイッチまたは論理スイッチに接続し 1 個の論理リンクに集約することができます システムでリンク統合を構成するには 各 SP( ストレージプロセッサ ) の Ethernet ポートのタイプと数が同じである必要があります リンク統合では 実際には 2 つのリンク統合 (SP ごとに 1 つ ) が作成されるためです これにより 高可用性が実現されます リンクアグリゲーションのポートの 1 つに障害が発生した場合 ネットワークトラフィックはリンクアグリゲーションのその他のポートの 1 つにリダイレクトされます システムの各 SP に Ethernet I/O モジュールを追加する場合は I/O モジュールのポートのセットに追加の LAG( リンク統合グループ ) を 1 つ作成できます このトピックでは リンク統合の機能とメリットについて説明します リンクアグリゲーションには LACP(Link Aggregation Control Protocol)IEEE 802.3ad 標準が使用されます リンクアグリゲーションは iscsi インターフェイスには適用されません リンク統合は単一の Ethernet リンクとして認識され 次の利点を備えています 12 Unity ファミリー 4.2 SMB ファイルシステムにアクセスするためのホストの構成

13 SMB ストレージ向けホストのセットアップ Unity システムとのネットワークパスの高可用性 : リンク統合の 1 つの物理ポートで障害が発生しても システムの接続が失われることはありません 全体的なスループットの向上の可能性 : 複数の物理ポートが 複数の物理ポートにネットワークトラフィックが分散される 1 つの論理ポートに結合されるためです リンクアグリゲーションは 単一ポートよりも多くの総帯域幅を提供しますが 任意の単一クライアントとの接続は 1 つの物理ポートを通過するため ポートの帯域幅により制限されます 1 つのポートとの接続に障害が発生した場合 スイッチはグループの残りのポートに自動的にトラフィックを切り替えます 接続がリストアされると スイッチはグループの一部としてポートの使用を自動的に再開します Unity システムでは 最大で 4 つのポートを 1 つのリンク統合に構成することができます リンク統合を構成する際には 2 つのリンク統合 ( 各 SP に 1 つ ) を構成していることになります リンク統合のポートの 1 つに障害が発生した場合 ネットワークトラフィックはグループ内のその他のポートの 1 つにリダイレクトされます スイッチの要件 このトピックでは リンク統合の使用時のスイッチ要件について説明します Unity ポートが異なるネットワークスイッチに接続されている場合は これらのポートに接続されているすべてのスイッチポートを即時にブロックモードから転送モードに切り替えて インターフェイス稼働時にリスニングおよびラーニングのスパニングツリー状態を通過しないように構成する必要があります Cisco スイッチの場合 これは 物理リンクが有効なときにストレージシステムが生成する Ethernet フレームをスイッチが転送することを保証するために Unity ポートに接続している各スイッチポートのポートファスト機能を有効にする必要があることを意味します ポートファスト機能は ポート間ベースで有効にします 有効にすると ポートファスト変数によって ポートはブロックモードから転送モードに瞬時に切り替わります スイッチ間接続ではポートファストを使用しないでください リンクアグリゲーションでは ネットワークスイッチで IEEE 802.3ad プロトコルをサポートし 単一の TCP 接続からのパケットが常に一方向で同じリンクを通過することを保証する必要があります リンクアグリゲーションの構成 このトピックでは リンク統合の構成について説明し 必要な構成タスクを示します Windows 7 および Windows Server 2003 では リンクアグリゲーション (NIC チーミング ) はサポートされていません 一部の NIC ベンダーが NIC チーミングをサポートするドライバを提供しています 詳細については 最寄りの NIC ベンダーにお問い合わせください Windows Server 2008 では NIC チーミングはサポートされています リンク統合では リンク統合の Unity ポートに接続する各スイッチポートとして使用できるポートがある 802.3ad 準拠のスイッチが 1 つ以上 必要です NIC チーミングという用語は 802.3ad を使用したリンクアグリゲーションを含む すべての NIC 冗長スキームを指します リンク統合では 2 つの構成タスクセットを実行する必要があります スイッチから Unity システムへのリンク統合を構成する ホストからスイッチへのリンク統合を構成する スイッチから Unity システムへのリンク統合の構成 スイッチポートを構成し リンク統合に追加する方法を説明します リンクアグリゲーションの構成 13

14 SMB ストレージ向けホストのセットアップ 手順 結果 ホストからスイッチへのリンク統合の構成 1. Unity システムに接続されている アクティブモードの LACP のスイッチポートを構成します 詳細については スイッチに付属のドキュメントを参照してください 2. Unisphere を使用して これらのポートをリンク統合に追加します これを行うには 次の手順を実行します a.[ 設定 ] アイコンを選択し [ アクセス ] > [Ethernet] を選択します b. Ethernet ポートを選択し [ リンク統合 ] > [ リンク統合の作成 ] を選択します c. リンク統合用のポートを選択し [ 作成 ] を選択します 各 SP に対して 1 つずつ 2 つのリンクアグリゲーションが同じポートに作成されます このトピックでは ホストからスイッチへのリンク統合を構成する方法について説明します 手順には リンク統合のスイッチポートの構成と ホスト上の NIC チーミングが含まれます この手順は Intel ネットワークインターフェイスドライバー用です 手順 1. スイッチポートを構成して リンク統合用のホストに接続します 2. Windows Server 2008 Windows Server 2012 Windows 8 のホストで NIC チーミングを構成します Windows Server 2008 Windows Server 2012 Windows 8 ホストは リンクアグリゲーションを NIC チーミングとして参照します Windows 8 は Unity で NIC チーミングを自動検出し Unity と同じインターフェイスを使用するようにホストを構成します 手動で構成する必要はありません a.[ コントロールパネル ] で [ ネットワークとインターネット ] > [ ネットワーク接続 ] を選択します b.[ ネットワーク接続 ] ダイアログボックスで チーミングに使用する 1 つの NIC を右クリックし [ プロパティ ] をクリックします c.[ 構成 ] をクリックします d.[ プロパティ ] ダイアログボックスの [ チーム化 ] タブをクリックします 3. [ チーム化 ] タブで 以下の操作を実行します a.[ その他のアダプタとチーム化する ] を選択します b.[ 新規チーム ] をクリックします [ 新規チームの作成ウィザード ] が開きます 4. [ 新規チームの作成ウィザード ] で 以下の操作を実行します a. チームの名前を指定し [ 次へ ] をクリックします b. チームに含めるその他の NIC を選択し [ 次へ ] をクリックします c. チームタイプを選択し [ 次へ ] をクリックします チームタイプの情報については チームタイプを選択し 選択ボックスの下に表示される説明を参照してください 14 Unity ファミリー 4.2 SMB ファイルシステムにアクセスするためのホストの構成

15 SMB ストレージ向けホストのセットアップ d.[ 完了 ] をクリックします 5. [ アダプティブロードバランシング ] をチームタイプとして選択し Hyper-V 仮想マシンで新しい NIC チームを使用する場合は [ ロードバランシングの受信 ] を無効にします a.[ 詳細 ] タブをクリックします b.[ 設定 ] で [ ロードバランシングの受信 ] を選択します c.[ 値 ] で [ 無効 ] を選択します d.[ok] をクリックします 新しいチームがローカルエリアネットワーク接続として [ ネットワーク接続 ] ダイアログボックスに表示されます 6. 仮想マシンで新しい NIC チームを使用するには 次の操作を実行します a.[hyper-v マネージャ ] の [ 仮想マシン ] で 仮想マシンを選択します b.[ 操作 ] で [ 仮想ネットワークマネージャ ] を選択します c.[ 仮想ネットワークマネージャ ] の [ 仮想ネットワーク ] で [VM NIC - 仮想マシンネットワーク ] を選択します d.[ 接続の種類 ] で ネットワークタイプと NIC チームを選択します e.[ 適用 ] をクリックします f. 変更が適用されたら [OK] をクリックします SMB 暗号化の使用 Windows 8 および Windows 12 SMB3 の環境では Unity SMB ファイルシステムに保存されたデータが Unity と Windows ホストの間を移動するため このようなデータを暗号化する機能が提供されています Unisphere では このタイプの暗号化をプロトコル暗号化と呼びます 特定の共有では 共有レベルの SMB 暗号化が有効になっており その共有にアクセスすると適用されます 共有に対する SMB 暗号化を構成するには Unisphere のオンラインヘルプを参照してください 必要に応じて システムレベルで暗号化を適用することもでき (NAS サーバーのレジストリで暗号化を設定 ) その場合 すべてのシェアのアクセスが暗号化の対象となります クライアントレベルの構成は必要ありません SMB ファイルシステムストレージの構成 手順 1. Unisphere または Unity CLI を使用して ホスト ( クライアント ) の SMB ファイルシステムストレージを作成します 2. これらのタスクの実行の詳細については Unisphere のオンラインヘルプを参照してください SMB 暗号化の使用 15

16 SMB ストレージ向けホストのセットアップ SMB 共有に対するユーザーアクセスの構成 このタスクでは ホストから SMB 共有へのユーザーアクセスを構成する方法について説明します Unity NAS サーバーの名前または IP アドレスが必要です 共有へのユーザーアクセスは Active Directory を使用してファイルごとに構成されます 手順 1. Active Directory で ドメイン管理者アカウントを使用して Windows ホストにログインします Windows ホストは SMB 共有に使用する NAS サーバーの属するドメインにアクセスできる必要があります 2. [ コンピューターの管理 ] ウィンドウを開きます a. Windows OS の場合はいずれも コンピューターの管理 MMC スナップインを開きます b. Windows Server 2008 Windows Server 2012 Windows 7 Windows 8 の場合は [ スタート ] をクリックし [ コントロールパネル ] > [ 管理ツール ] > [ コンピューターの管理 ] をクリックします 3. [ コンピュータの管理 ] ツリーで [ コンピュータの管理 ( ローカル )] を右クリックします 4. [ 別のコンピュータへ接続 ] を選択します [ コンピュータの選択 ] ダイアログが開きます 5. [ コンピューターの選択 ] ダイアログボックスで NAS サーバーの名前または IP アドレスを入力し クライアントの SMB 共有を指定します 6. [ コンピューターの管理 ] ツリーで [ システムツール ] > [ ファイルシステム ] > [ 共有 ] を選択します 使用可能な共有が右側に表示されます Unity 共有が表示されない場合は 正しいドメインにログインしているかどうかを確認してください 7. アクセス許可を変更する共有を右クリックし [ プロパティ ] を選択します 8. [ 共有のアクセス許可 ] タブをクリックします 9. ユーザーまたはグループを選択し このユーザーまたはグループに対するアクセス許可を選択します 10. [OK] をクリックします SMB 共有のマッピング このタスクで SMB 共有にホストを接続できるようになります 共有のエクスポートパスを取得する方法についても説明します 共有のエクスポートパス (\\NASServer\share) が必要になります これは 以下の説明に従って Unisphere で確認できます 手順 1. Windows ホストで Windows Map Network Drive 機能を使用して ホストを SMB 共有に接続します また ホストにログインするたびに共有に再接続することもできます 16 Unity ファミリー 4.2 SMB ファイルシステムにアクセスするためのホストの構成

17 SMB ストレージ向けホストのセットアップ 2. 共有のエクスポートパスが必要な場合は 次の手順に従います a. Unisphere にアクセスします b.[ ストレージ ] で [ ファイル ] > [SMB 共有 ] を選択します c.[ エクスポートパス ] 列をビューに追加します d. 画面で SMB 共有を見つけます 共有への読み取り / 書き込みアクセスが許可されている場合は 共有にディレクトリを作成し このディレクトリにファイルを格納できます ( 共有をマップした後 ) SMB 共有のマッピング 17

18 SMB ストレージ向けホストのセットアップ 18 Unity ファミリー 4.2 SMB ファイルシステムにアクセスするためのホストの構成

19 第 2 章 Unity ストレージシステムへの SMB データの移行 SMB データを Unity ストレージシステムに手動コピーで移行できます 手動コピー操作ではデータへのアクセスが中断し ファイル構造にある ACL と権限が保持されない可能性があります 本章は 次のトピックで構成されています 移行の環境と制限事項...20 データの移行 Unity ストレージシステムへの SMB データの移行 19

20 Unity ストレージシステムへの SMB データの移行 移行の環境と制限事項 このトピックでは データ移行の要件と制限事項について説明します 手動コピーを使用するか アプリケーション固有のツールがあれば それを使用して データを Unity システムに移行できます 移行する SMB 構成に次の状況のいずれかが存在する場合は Unity サービスプロバイダーに連絡してください 移行の対象とする共有を超える数の共有 Unity 共有に手動で再割り当てしない権限 複数の Unity 共有の間で分割する共有 同一の Unity 共有上で他の共有と組み合わせる共有 表 2 (20 ページ ) は データ移行に必要な環境を 表 3 (20 ページ ) は 手動コピーによる移行の特徴を示します 表 2 データの移行に必要な環境 コンポーネント Unity ストレージホスト共有 要件 移行する共有に存在するデータを収容でき そのデータの増加に対応できるサイズの共有を持つファイルシステム 移行するデータを収めた Unity 共有に対する読み取りアクセス許可 および移行したデータの共有に対する書き込みアクセス許可を持つホスト 全体を Unity 共有に移行する共有 表 3 手動コピーによる共有の特徴 コンポーネント 権限 ダウンタイム 特性 保持されない可能性がある ダウンタイムは 次の処理に必要な時間の合計に比例する 共有の内容の Unity 共有へのコピー Unity 共有に接続するためのホストの構成 手動コピーによる移行とアプリケーションによる移行のどちらでも ダウンタイムは次の処理に必要な時間に比例します コピーによる移行とアプリケーションによる移行のどちらでも ダウンタイムは次の処理に必要な時間に比例します 共有の内容の Unity 共有へのコピー Unity 共有に接続するためのホストの構成 データの移行 このトピックでは Unity 共有へのデータの移行タスクを示します 20 Unity ファミリー 4.2 SMB ファイルシステムにアクセスするためのホストの構成

21 Unity ストレージシステムへの SMB データの移行 Unity 共有にデータを移行するには 共有へのアクセスをセットアップします 次にデータを移行します SMB ホストの Unity 共有へのアクセスのセットアップ このトピックでは 新しい共有へのユーザーアクセスを Active Directory で構成し 共有をマップする手順を示します データの移行で使用するホストで次の手順を実行します 手順 手動コピーによるデータの移行 1. 新しい共有に対するユーザーアクセスを Active Directory で構成します 詳細な手順については SMB 共有に対するユーザーアクセスの構成 (16 ページ ) を参照してください 2. 新しい共有をマップします 詳細な手順については SMB 共有のマッピング (16 ページ ) を参照してください このトピックでは ( アプリケーション固有のツールを使用するのではなく ) 一度に 1 つの共有のデータを手動でコピーする方法を説明します 手動でコピーすると ホストの移行中に共有にアクセスできない時間が最小限になります 手順 1. 共有をアクティブに使用しているクライアントがいる場合は そのクライアント および移行するデータにアクセスする可能性のあるクライアントの接続を切断します 2. 現在のストレージから新しい Unity 共有にデータをコピーするうえで最適と思われる方法を使用します この方法は カットアンドペーストやドラッグアンドドロップのような操作であることも考えられます 選択した方法で ファイルの属性 タイムスタンプ アクセス権など 保持する必要のあるあらゆるメタデータを保持できることを確認します 3. コピー操作が終了したら Unity システムでエクスポートした新しい共有にクライアントを接続し 必要に応じてこの共有にドライブをマップします SMB ホストの Unity 共有へのアクセスのセットアップ 21

22 Unity ストレージシステムへの SMB データの移行 22 Unity ファミリー 4.2 SMB ファイルシステムにアクセスするためのホストの構成

23 第 3 章 Windows ツールによる SMB ファイルシステムストレージの管理 本章は 次のトピックで構成されています コンピューターの管理 MMC を開く 共有の作成と ACL の設定...24 ホームディレクトリ機能の使用...25 グループポリシーオブジェクトの使用 SMB 署名の使用...30 NAS サーバーの接続およびリソース使用のモニタリング SMB ユーザーおよびオブジェクトの監査...31 NAS サーバーのセキュリティログへのアクセス...36 共有スナップショットのコピー...36 共有スナップショットのリストア...36 Windows ツールによる SMB ファイルシステムストレージの管理 23

24 Windows ツールによる SMB ファイルシステムストレージの管理 コンピューターの管理 MMC を開く このトピックでは 特定の NAS サーバーのコンピューターの管理 MMC(Microsoft 管理コンソール ) を開く方法について説明します 手順 1. ドメイン管理者アカウントを使用して Active Directory の一部である Windows ホストにログインします Windows ホストは Unity NAS サーバーの属するドメインにアクセス可能である必要があります 2. [ コンピューターの管理 ] ページを開きます Windows OS の場合はいずれも コンピューターの管理 MMC スナップインを開きます Windows Server 2008 Windows Server 2012 Windows 8 の場合は [ スタート ] をクリックし [ 管理ツール ] > [ コンピューターの管理 ] を選択します 3. [ コンピュータの管理 ( ローカル )] を右クリックします 4. [ 別のコンピュータへ接続 ] を選択します 5. Unity NAS サーバーの名前を入力し [OK] をクリックします 管理者権限を持つ Administrator としてログインして MMC スナップインを使用します 共有の作成と ACL の設定 Unisphere を使用して SMB 共有を作成してから ( 方法については Unisphere のヘルプを参照 ) MMC を使用して 共有のアクセス権 (ACL) を設定することを推奨しています Unisphere を使用する代わりに Unity システムに SMB ファイルシステムを作成してから MMC を使用してこのフォルダー内に共有を作成するという方法もあります MMC を使用して Windows 共有を作成するには 以下が必要です ファイルシステムのルートディレクトリの Unity 共有をマウントしておき この中に 共有するディ レクトリを作成していること Unity 管理者であること 既存の共有に対する ACL の設定 このトピックでは [ コンピューターの管理 ]MMC を使用して 既存の共有で ACL を設定する方法について説明します 手順 1. コンピューターの管理 MMC を開く (24 ページ ) の説明に従って [ コンピュータの管理 ] MMC を開きます 2. コンソールツリーで 次の順に選択します [ ファイルシステム ] > [ 共有 ]. 現在使用中の共有が右側に表示されます 3. アクセス許可を変更する共有を右クリックし [ プロパティ ] を選択します 4. [ 共有のアクセス許可 ] タブをクリックします 5. ユーザーまたはグループを選択し このユーザーまたはグループに対するアクセス許可を選択します 24 Unity ファミリー 4.2 SMB ファイルシステムにアクセスするためのホストの構成

25 Windows ツールによる SMB ファイルシステムストレージの管理 共有の作成と ACL の設定 6. [OK] をクリックします このトピックでは [ コンピューターの管理 ]MMC を使用して共有を作成し ACL を設定するステップについて説明します 手順 1. コンピューターの管理 MMC を開く (24 ページ ) の説明に従って [ コンピューターの管理 ] MMC を開きます 2. コンソールツリーで 次の順にクリックします [ ファイルシステム ] > [ 共有 ]. 現在使用中の共有が右側に表示されます 3. [[ 共有 ]] を右クリックし ショートカットメニューから [[ 新しいファイルの共有 ]] を選択します [ フォルダの共有 ] ウィザードが開きます 4. 共有するフォルダの名前 フォルダの共有名 共有の説明を入力します [ 次へ ] をクリックします 共有のアクセス許可を設定するよう指示されます 5. いずれか 1 つのオプションを選択して アクセス許可を設定します [[ 共有とフォルダのアクセス許可をカスタマイズする ]] または [[ アクセス許可のカスタマイズ ]] オプションを使用すると グループやユーザーに個別にアクセス許可を割り当てることができます 6. [ 完了 ] をクリックします ホームディレクトリ機能の使用 ホームディレクトリ機能を使用すると ディレクトリにユーザー名を関連づけることで このディレクトリがユーザーのホームディレクトリとして機能します これにより 個人の共有の管理 およびこれらの共有に接続する処理を単純化できます ホームディレクトリはユーザーのプロファイル内でマップされます したがって ユーザーがログインすると ホームディレクトリはネットワークドライブに自動的に接続されます ホームディレクトリ機能は ホームディレクトリ管理スナップインで 有効化 設定 管理を行います この機能を使用すると ユーザーのログインプロファイルを定義するときに \HOME または \ %username% を使用してホームディレクトリのビルトイン共有を利用できます 各ユーザーに対して個別の共有を作成する必要はありません ホームディレクトリ機能は デフォルトでは無効にされています ホームディレクトリを有効にするには ストレージシステム上に SMB NAS サーバを作成する必要があります ユーザーのログオンプロファイルをマップして表示するには 次のいずれかの操作を行います \HOME をビルトイン共有とプロファイルとして使用する : Z: \\SMBServer1\HOME \%username% をビルトイン共有とプロファイルとして使用する : Z: \\SMBServer1\%username% 共有の作成と ACL の設定 25

26 Windows ツールによる SMB ファイルシステムストレージの管理 ホームディレクトリの制限 ホームディレクトリには 特別な共有名 HOME が予約されています 次の制限事項が適用されます ソフトウェアバージョン : HOME という名前の共有がすでに作成されている場合は ホームディレクトリ機能を有効に することはできません ホームディレクトリ機能を有効にしている場合は HOME という名前の共有を作成すること はできません ホームディレクトリは ユーザーの Windows ユーザープロファイル内で UNC( 汎用名前付け規則 ) パスを使用して構成されます \\[NAS_server]\HOME または \\[NAS_server] \%username% ただし [NAS_server] は NAS サーバの IP アドレス コンピューター名 または NetBIOS 名となります HOME はホームディレクトリ機能用に予約された 特別な共有です ユーザーのホームディレクトリのパスに HOME が使用された状態で このユーザーがログインすると ユーザーのホームディレクトリはネットワークドライブに自動的にマップされ HOMEDRIVE HOMEPATH および HOMESHARE 環境変数が自動的に設定されます Active Directory でのユーザープロファイルの設定 Windows Active Directory でユーザーのログオンプロファイルを設定するには この手順に従います Windows サーバーとドメイン管理者アカウントが必要です 手順 1. ドメイン管理者アカウントを使用して Windows サーバにログインします 2. コントロールパネルから [ 管理ツール ] > [Active Directory ユーザーとコンピュータ ] の順に選択します 3. [ ユーザー ] をクリックして 右側のパネルにユーザーを表示します 4. ユーザーを右クリックし [ プロパティ ] を選択します [ ユーザーのプロパティ ] ウィンドウが開きます 5. [ プロファイル ] タブをクリックし [Home ] フォルダーで以下を実行します a.[ 接続 ] を選択します b. ホームディレクトリにマップするドライブ文字を選択します c.[ パス ] で 次のように入力します \\[NAS_server]\HOME または \\NAS_server \%username% ただし [NAS_server] は Unity NAS サーバの IP アドレス コンピューター名 または NetBIOS 名です 6. [[OK]] をクリックします 正規表現を使用したホームディレクトリの追加 このトピックでは 式を使用してホームディレクトリを追加する手順を示します この手順には ドメイン管理者アカウントが必要です 手順 1. ドメイン管理者アカウントを使用して Windows サーバにログインします 2. コントロールパネルから [ 管理ツール ] > [EMC Unity VNX VNXe NAS Management] の順に選択します 26 Unity ファミリー 4.2 SMB ファイルシステムにアクセスするためのホストの構成

27 Windows ツールによる SMB ファイルシステムストレージの管理 3. [Homedir] フォルダーアイコンを右クリックし [ 新規作成 ] > [ ホームディレクトリエントリー ] の順に選択します ホームディレクトリのプロパティページが表示されます 4. 次の情報を入力します a.[ ドメイン ] に ユーザーのドメイン名を NetBIOS 名を使用して入力します 完全修飾ドメイン名は使用しないでください たとえば ドメイン名が Company.local の場合は company comp.* のいずれかを入力できます ( このオプションが機能するには 正規表現を有効にしておく必要があります ) b.[ ユーザー ] に ユーザー名またはワイルドカード文字列を入力します たとえば ユーザー名が Tom の場合は 次のいずれかを入力できます T で始まるユーザー名には T* すべてのユーザー名には * r s t u v のいずれかで始まるユーザー名には [r-v].* を指定します ( このオプションを正常に使用するには 正規表現を真にする必要があります ) c.[ パス ] に 次のいずれかの方法を使用して パス名を入力します フォルダーのパス (\HomeDirShare\dir1 など ) を入力します [ 参照 ] をクリックし フォルダを選択するか または新規のフォルダを作成します フォルダを自動作成するには [ ディレクトリを自動作成 ] を選択します 次に ディレクトリの入力例を示します \HomeDirShare\dir1\User1 \HomeDirShare\<d>\<u>( この場合 ドメイン名 d のフォルダーと ユーザー 名 u のディレクトリが作成されます ) 5. [[OK]] をクリックします 表 4 (27 ページ ) は ホームディレクトリを追加するための正規表現書式の例を示します 表 4 正規表現の書式の例 ドメインユーザー Path オプション結果 * * \HomeDirShare\ None すべてのユーザーのホームディレ クトリが \HomeDirShare に設 定されます * a* \HomeDirShare\ None ユーザー名が a で始まるユーザ ーのホームディレクトリが \HomeDirShare に設定され * * \HomeDirShare \<d>\<u>\ Auto Create Directory = True ます すべてのユーザーに対し 各自のディレクトリが設定されます たとえば company ドメインに属する Bob というユーザーには 正規表現を使用したホームディレクトリの追加 27

28 Windows ツールによる SMB ファイルシステムストレージの管理 表 4 正規表現の書式の例 ( 続き ) ドメイン ユーザー Path オプション 結果 \HomeDirShare\company \Bob がホームディレクトリとして設定されます comp [a-d].* \HomeDirShare \FolksA-D\<d> \<u>\ Auto Create Directory = True Regexp=True company ドメインに属し ユーザー名が a b c d のいずれかで始まるユーザーのホームディレクトリが \HomeDirShare \FolksA-D\company\ に設 定されます (u は各自のユーザー名 ) グループポリシーオブジェクトの使用 Windows Server 2003 Windows Server 2008 Windows Server 2012 のドメインコントローラーでは 管理者がグループポリシーを使用して ユーザーとコンピューターのグループに対する構成オプションを定義できます Windows GPO は ローカル ドメイン ネットワークセキュリティの設定などの管理要素を制御できます グループポリシー設定は Active Directory 内のサイト ドメイン OU( 組織単位 ) コンテナにリンクされた GPO 内に保存されます ドメインコントローラはドメイン内のすべてのドメインコントローラ上に GPO をレプリケートします 監査ポリシーは Unity NAS 管理スナップインのコンポーネントです このスナップインは MMC (Microsoft 管理コンソール ) スナップインとして Windows Server 2003 Windows Server 2008 Windows Server 2012 Windows 8 システム上の管理コンソールにインストールされます 監査ポリシーを使用すると NAS サーバーのどのセキュリティイベントがセキュリティログに記録されたのかを確認できます 成功した試行 失敗した試行 またはその両方を記録するように選択することも その両方を記録しないように選択することもできます 監査されたイベントは Windows イベントビューアのセキュリティログで確認できます 監査ポリシーノードに表示される監査ポリシーは ADUC(Active Directory ユーザーとコンピューター ) の GPO として使用可能なポリシーのサブセットです これらの監査ポリシーはローカルポリシーであり 選択した NAS サーバーだけに適用されます 監査ポリシーノードを使用して GPO 監査ポリシーを管理することはできません 監査ポリシーを ADUC の GPO として定義した場合は この GPO 設定はローカル設定を上書きします ドメイン管理者がドメインコントローラー上の監査ポリシーを変更した場合は この変更は NAS サーバーにも反映されるため 監査ポリシーノードを使用して確認できます ローカルな監査ポリシーを変更することもできますが この監査ポリシーに対する GPO を無効にしない限り 変更は有効になりません 監査を無効にしても GPO 設定は引き続き [ 有効 ] 設定列に表示されます Microsoft Windows の [ ローカルポリシーの設定 ] ツールを使用して NAS サーバー上の監査ポリシーを管理することはできません Windows Server 2003 と Windows XP では Windows の [ ローカルポリシーの設定 ] ツールを使用して監査ポリシーをリモート管理することはできないためです 28 Unity ファミリー 4.2 SMB ファイルシステムにアクセスするためのホストの構成

29 Windows ツールによる SMB ファイルシステムストレージの管理 NAS サーバーでの GPO サポート サポートされる GPO 設定 NAS サーバーは Windows Server 2003 ドメインに参加している NAS サーバーごとに GPO 設定のコピーを取得および保存することで GPO をサポートしています NAS サーバーは GPO 設定を GPO キャッシュに保存します Unity システムの電源を入れると Unity システムは GPO キャッシュに保存されている設定を読み取り Windows ドメインコントローラから最新の GPO 設定を取得します GPO 設定を取得した後 NAS サーバーはドメインの更新間隔に基づき 設定を自動的に更新します NAS サーバーでは現在 以下の GPO セキュリティ設定がサポートされます Kerberos コンピューターの時計の同期の最長トレランス ( 時刻のずれ ) 時刻の同期は NAS サーバーご とに行われます ユーザーチケットの最長有効期間 監査ポリシー アカウントログオンイベントの監査 アカウント管理の監査 ディレクトリサービスのアクセスの監査 ログオンイベントの監査 オブジェクトアクセスの監査 ポリシーの変更の監査 特権使用の監査 プロセス追跡の監査 システムイベントの監査 SMB ユーザーおよびオブジェクトの監査 (31 ページ ) で詳細を参照してください ユーザー権限 ネットワークからコンピューターへのアクセス ファイルとディレクトリのバックアップ 走査チェックのバイパス ネットワークからコンピューターへのアクセスの拒否 ウイルスチェック セキュリティ監査の生成 監査とセキュリティログの管理 ファイルとディレクトリのリストア ファイルとその他のオブジェクトの所有権の取得 セキュリティオプション クライアント通信にデジタル署名を行う ( 常時 ) クライアント通信にデジタル署名を行う ( 可能な場合 ) NAS サーバーでの GPO サポート 29

30 Windows ツールによる SMB ファイルシステムストレージの管理 サーバー通信にデジタル署名を行う ( 常時 ) サーバー通信にデジタル署名を行う ( 可能な場合 ) LAN Manager 認証レベルイベントログ アプリケーションログの最大サイズ セキュリティログの最大サイズ システムログの最大サイズ アプリケーションログへのゲストアクセスの制限 セキュリティログへのゲストアクセスの制限 システムログへのゲストアクセスの制限 アプリケーションログの保存 セキュリティログの保存 システムログの保存 アプリケーションログの保存方法 セキュリティログの保存方法 システムログの保存方法グループポリシー バックグラウンドでのグループポリシーの更新の無効化 コンピューターのグループポリシーの更新間隔 SMB 署名の使用 SMB 署名を使用すると パケットがインターセプト 変更 またはリプレイされる心配がありません また 署名により 第三者がパケットを変更していないこと保証できます 署名を実行すると すべてのパケットにシグネチャが追加されます クライアントと Unity NAS サーバーはこのシグネチャを使用して パケットの整合性を検証します Unity NAS サーバーは SMB1 SMB2 SMB3 をサポートします SMB 署名が正しく機能するには トランザクションに関わるクライアントとサーバーの両方で SMB 署名が有効にされている必要があります Unity NAS サーバーでは SMB 署名が常に有効になっています ただし これは必須ではありません したがって クライアント上で SMB 署名を有効にすると署名が使用され クライアント上で SMB 署名を無効にすると署名は使用されません 署名は Active Directory ドメインポリシーによって適用することができます NAS サーバーの接続およびリソース使用のモニタリング NAS サーバーのユーザーの監視 Windows 管理ツールを使用して ユーザー 共有アクセス NAS サーバー上のファイルの使用を監視できます このトピックでは NAS サーバに接続しているユーザー数を監視するための手順を示します 30 Unity ファミリー 4.2 SMB ファイルシステムにアクセスするためのホストの構成

31 Windows ツールによる SMB ファイルシステムストレージの管理 手順 1. 監視する NAS サーバーの [ コンピューターの管理 MMC を開く (24 ページ ) コンピューターの管理 ]MMC を開きます ( 手順についてはを参照 ) 2. コンソールツリーで [ 共有フォルダ ] > [ セッション ] をクリックします 現在 NAS サーバーに接続中のユーザーが右側に表示されます 3. オプション : NAS サーバー上の共有へのアクセスの監視 NAS サーバーから強制的に切断するには ユーザー名を右クリックし 次に ショートカットメニューから [ セッションを閉じる ] を選択します すべてのユーザーの接続を強制的に切断するには [ セッション ] を右クリックして ショートカットメニューから [ セッションをすべて切断 ] を選択します このトピックでは NAS サーバ上の共有へのアクセスを監視する手順を示します 手順 NAS サーバーでのファイル使用の監視 1. NAS サーバーの [ コンピューターの管理 ]MMC を開きます ( 手順についてはコンピューターの管理 MMC を開く (24 ページ ) を参照 ) 2. コンソールツリーで [ 共有フォルダ ] > [ セッション ] をクリックします 現在 NAS サーバーに接続中のユーザーが右側に表示されます 3. オプションとして 共有からの接続を強制的に切断するには 共有名を右クリックして ショートカットメニューから [[ 共有の停止 ]] を選択します このトピックでは [ コンピューターの管理 ]MMC を使用して NAS サーバーでファイルの使用状況を監視するステップを示します 手順 1. NAS サーバーの [ コンピューターの管理 ]MMC を開きます ( 手順についてはコンピューターの管理 MMC を開く (24 ページ ) を参照 ) 2. コンソールツリーで 次の順にクリックします [ ファイルシステム ] > [ 開いているファイル ]. 現在使用中のファイルが右側に表示されます 3. オプションとして 開かれているファイルを閉じるには ファイルを右クリックして ショートカットメニューから [[ 開いているファイルを閉じる ]] を選択します 4. 開かれているすべてのファイルを閉じるには [[ 開いているファイル ]] フォルダを右クリックして ショートカットメニューから [[ 開いているファイルをすべて切断 ]] を選択します SMB ユーザーおよびオブジェクトの監査 NAS サーバーを監査するには MMC スナップインである Unity NAS 管理スナップインを使用します MMC スナップインのインストールについては SMB のホストソフトウェアのインストール (11 ページ ) を参照してください デフォルトでは すべての Windows オブジェクトクラスに対する監査は無効にされています 監査を有効にするには 特定の NAS サーバーでの特定のイベントに対して 監査を明示的に有効化する必要があります 監査を有効にすると 関連する NAS サーバー上で監査が開始されます 監査ポリシーの設定については Unity NAS 管理スナップインのオンラインヘルプを参照してください NAS サーバー上の共有へのアクセスの監視 31

32 Windows ツールによる SMB ファイルシステムストレージの管理 NAS サーバー上で GPO( グループポリシーオブジェクト ) が構成および有効化されている場合は 監査設定の GPO 構成が使用されます 監査は 表 5 (32 ページ ) に示す 特定のオブジェクトクラスおよびイベントに対してのみ有効です Unity 上級管理者のみが NAS サーバーでの監査を設定できます 表 5 オブジェクトクラスの監査 オブジェクトクラスイベント監査対象 ログオン / ログオフ ファイルとオブジェクトへのアクセス SMB ユーザーのログイン SMB ゲストのログイン ドメインコントローラによってパスワード認証エラーが返されたドメインコントローラによって未処理エラーコードが返された ドメインコントローラから応答がない ( リソースが不十分 またはプロトコルが不適切 ) オブジェクトのオープン ファイルおよびディレクトリへのアクセス ( 読み取り 書き込み 削除 実行 権限の設定 所有権の取得に対して SACL( システムアクセスコントロールリスト ) が設定されている場合 ) SAM( セキュリティアクセスマネージャ ) のローカルグループの変更 ハンドルのクローズ ファイルおよびディレクトリへのアクセス ( 読み取り 書き込み 削除 実行 権限の設定 所有権の取得に対して SACL が設定されている場合 ) SAM データベースが閉じられ た オブジェクトのオープンおよび削除 ファイルおよびディレクトリへのアクセス (SACL が設定されている場合 ) オブジェクトの削除 ファイルおよびディレクトリへのアクセス (SACL が設定されている場合 ) SAM データベースへのアクセス ( 検索 ) 成功失敗成功 成功および失敗 プロセスの追跡未対応該当なし 32 Unity ファミリー 4.2 SMB ファイルシステムにアクセスするためのホストの構成

33 Windows ツールによる SMB ファイルシステムストレージの管理 表 5 オブジェクトクラスの監査 ( 続き ) オブジェクトクラスイベント監査対象 システムの再起動 / シャットダウン セキュリティポリシー 再起動 SMB サービスの開始 SMB サービスのシャットダウン 監査ログの消去 セッションの特権 ユーザー特権の一覧表示 ユーザーの権利の割り当て ユーザーの権利の削除 ポリシーの変更 ポリシーのカテゴリ および関連づけられた監査状態の一覧表示 成功 成功 ユーザーの権利の使用未対応該当なし ユーザーとグループの管理 ローカルグループの作成ローカルグループの削除 ローカルグループへのメンバーの追加 ローカルグループからのメンバーの削除 成功 監査を有効にすると イベントビューアでは 表 6 (33 ページ ) に示すデフォルト設定によってセキュリティログが作成されます 表 6 デフォルトのログ設定 NAS サーバーでの監査の有効化 ログタイプファイルの最大サイズ Retention セキュリティ 512 KB 10 日 Unity NAS サーバーでは 個別のフォルダーおよびファイルに対する監査がサポートされています NAS サーバーに対して監査を有効にするには 以下の手順を実行します 監査ポリシーの指定 (33 ページ ) 監査ログパラメーターの設定 (34 ページ ) 監査ポリシーの指定 このトピックでは セキュリティ管理スナップインにアクセスし 監査ポリシーを指定する手順について説明します Unity NAS 管理コンソールのインストール後に 次の手順を実行します NAS サーバーでの監査の有効化 33

34 Windows ツールによる SMB ファイルシステムストレージの管理 監査ログパラメーターの設定 手順 1. NAS サーバーの [ コンピューターの管理 ]MMC を開きます ( 手順についてはコンピューターの管理 MMC を開く (24 ページ ) を参照 ) 2. [ スタート ] をクリックし [ プログラムまたはすべてのプログラム ] > [ 管理ツール ] > [Unity NAS 管理 ] の順にクリックします 3. [Unity NAS の管理 ] ウィンドウで 以下のいずれかを行います NAS サーバーが選択されている (NAS サーバーの管理の後に名前が表示されている ) 場合は 手順 4 に進みます NAS サーバーが選択されていない場合は次の手順を実行してください a.[nas サーバーの管理 ] を右クリックし ショートカットメニューから [NAS サーバーに接続 ] を選択します b.[nas サーバーの選択 ] ボックスで 次のいずれかの方法で NAS サーバーを選択します [ 検索 ] リストで 管理しようとする NAS サーバーが属するドメインを選択し リストから NAS サーバーを選択します [ 名前 ] フィールドで NAS サーバーのネットワーク名または IP アドレスを入力し ます 4. [NAS サーバーの管理 ] をダブルクリックし [NAS サーバーのセキュリティ設定 ] をダブルクリックします 5. [ 監査ポリシー ] を選択します 監査ポリシーが右側のパネルに表示されます 6. [ 監査ポリシー ] を右クリックし ショートカットメニューから [ 監査の有効化 ] を選択します 7. 右側のパネルで監査オブジェクトをダブルクリックし このオブジェクトに対する監査ポリシーを定義します 監査ポリシーの詳細については NAS 管理スナップインのオンラインヘルプを参照してください このトピックでは NAS サーバーの [ コンピューターの管理 ]MMC を使用して 監査ログパラメーターを設定するステップを示します 手順 1. NAS サーバーの [ コンピューターの管理 ]MMC を開きます ( 手順についてはコンピューターの管理 MMC を開く (24 ページ ) を参照 ) 2. [[ イベントビューアー ]] をダブルクリックし Windows Server 2008 または Windows Server 2012 の場合は [[Windows ログ ]] を選択します 特定のログファイルが表示されます 3. ログファイルを右クリックし ショートカットメニューから [[ プロパティ ]] を選択します ログのプロパティシートが表示されます 通常 [ 最大ログサイズ ] フィールドはロックされています 4. この処理手順を完了した後 ログの [[ アプリケーションのプロパティ ]] ダイアログボックスに戻り 矢印をクリックしてログのサイズを増減します 5. ダイアログボックスの [ ログサイズ ] 領域で ログサイズが最大値に達した場合の操作を指定します 34 Unity ファミリー 4.2 SMB ファイルシステムにアクセスするためのホストの構成

35 Windows ツールによる SMB ファイルシステムストレージの管理 [ 必要に応じてイベントを上書きする ]: ログが満杯である場合も すべての新しいイベントをログに書き込むかどうかを指定します ログが満杯になった後は 1 つの新規イベントにつき 1 つの既存イベントが古い順に置換されます [ 指定した日数を過ぎたらイベントを上書きする (n)]: 指定した日数を過ぎたイベントを上書きします 矢印ボタンを使用して上限値を指定するか またはフィールドをクリックして 上限値を直接入力します 手順 4 で指定したログファイルサイズが超過することはありません 最大ログサイズに到達し 指定した期間より古いイベントも存在しない場合は 新規イベントは追加されません [ イベントを上書きしない ]: ステップ 4 で指定した制限までログがいっぱいになります ログが満杯になった場合は ログをクリアするまで新しいイベントは書き込まれません 6. [OK] をクリックして 設定を保存します 監査イベントの表示 このトピックでは 監査イベントを表示するステップを示します 手順 1. [ スタート ] をクリックし 次の順に選択します [ すべてのプログラム ]> [ 管理ツール ]> [ イベントビューア ]. 2. 右側のパネルの [[ イベントビューア ]] アイコンを右クリックし ショートカットメニューから [[ 別のコンピューターへ接続 ]] を選択します [ コンピューターの選択 ] ダイアログボックスが開きます 3. [[ コンピューターの選択 ]] ダイアログで NAS サーバーの名前または IP を直接入力します [[ 参照 ]] を選択して NAS サーバーを探すこともできます 4. Windows Server 2008 または Windows Server 2012 の場合は [[Windows ログ ]] をクリックします 5. ログをクリックします ログエントリが右側のパネルに表示されます 6. ログエントリをダブルクリックし イベントの詳細を表示します [[ イベントのプロパティ ]] ウィンドウが表示されます 監査の無効化 このトピックでは 監査を無効化する手順について説明します 手順 1. ドメイン管理者権限によって Windows Server 2003 Windows Server 2008 または Windows Server 2012 ドメインコントローラーにログインします 2. [ スタート ] をクリックし [ プログラムまたはすべてのプログラム ] > [ 管理ツール ] > [Unity NAS 管理 ] の順にクリックします 3. 次のいずれかを実行します NAS サーバーがすでに選択されている (NAS サーバーの管理の後に名前が表示されて いる ) 場合は 手順 4 に進みます NAS サーバーが選択されていない場合は次の手順を実行してください a.[nas サーバーの管理 ] を右クリックし ショートカットメニューから [NAS サーバーに接続 ] を選択します 監査イベントの表示 35

36 Windows ツールによる SMB ファイルシステムストレージの管理 b.[nas サーバーの選択 ] ダイアログボックスで 次のいずれかの方法で NAS サーバーを選択します [ 検索 ] リストで 管理しようとする NAS サーバーが属するドメインを選択し リストから NAS サーバーを選択します [ 名前 ] フィールドで NAS サーバーのネットワーク名または IP アドレスを入力し ます 4. [NAS サーバーの管理 ] をダブルクリックし [NAS サーバーのセキュリティ設定 ] をダブルクリックします 5. [ 監査ポリシー ] を右クリックし ショートカットメニューから [ 監査の無効化 ] を選択します NAS サーバーのセキュリティログへのアクセス デフォルトでは 各 NAS サーバーの Windows セキュリティログが c:\security.evt に保存され この最大サイズは 512 KB です このセキュリティログには 次のように指定することで 各 NAS サーバーの C$ 共有から直接アクセスできます \\[storage_server_netbios_name]\c$\security.evt ここで [storage_server_netbios_name] は NAS サーバーの NetBIOS 名を表します 共有スナップショットのコピー このトピックでは Windows エクスプローラーを使用して共有スナップショットをコピーする手順を示します 手順 1. 次のいずれかの方法で コピーする共有を保持する NAS サーバーにアクセスします Windows エクスプローラーで NAS サーバーを参照します [ スタート ] > [ ファイル名を指定して実行 ] > [\\NAS_server_name] を選択し ます 共有スナップショットのリストア 2. NAS サーバーで スナップショットをコピーする共有を右クリックし [ プロパティ ] を選択します 3. [ 以前のバージョン ] タブをクリックします 4. コピーするスナップショット ( 以前のバージョン ) を選択し [ コピー ] をクリックします 指定した場所に 書き込み可能なスナップショットコピーが作成されます このトピックでは 共有スナップショットをリストアする手順を示します ストレージリソースをスナップショットにリストアすると このストレージリソースは スナップショットによってキャプチャされた以前の状態に戻ります ( ロールバック ) リストアの実行中 ストレージ上のすべてのファイルとデータを含む すべてのストレージリソースは スナップショットの内容によって置換されます 36 Unity ファミリー 4.2 SMB ファイルシステムにアクセスするためのホストの構成

37 Windows ツールによる SMB ファイルシステムストレージの管理 データの消失を防止するため リストア対象のストレージリソースに対し すべてのクライアントがすべての読み書き処理を完了していることを確認してください 手順 結果 1. 次のいずれかの方法で コピーする共有を保持する NAS サーバーにアクセスします Windows エクスプローラーで NAS サーバーを参照します [ スタート ] > [ ファイル名を指定して実行 ] > [\\NAS_server_name] を選択し ます 2. NAS サーバーで スナップショットをコピーする共有を右クリックし [ プロパティ ] を選択します 3. [ 以前のバージョン ] タブをクリックします 4. リストアするスナップショット ( 以前のバージョン ) を選択し [ 復元 ] をクリックします リストア処理により 以下が行われます 現在のバージョンには含まれるが リストア対象の旧バージョンには含まれないファイル : 変更が加えられることなく共有上に残されます 現在のバージョン およびリストア対象の旧バージョンの両方に含まれるファイル : 共有上のファイルは 旧バージョンの内容によって上書きされます リストア対象の旧バージョンには含まれるが 現在のバージョンには含まれないファイル : これらのファイルが共有に追加されます たとえば 次の状況で考えてみます 現在のバージョンには a b f ファイルが含まれます リストア対象となる 以前のバージョンには a f g ファイルが含まれます リストア後のバージョンには 現在のバージョンの内容となるファイル b 以前のバージョンの内容となる a f g ファイルが含まれることになります 共有スナップショットのリストア 37

38 Windows ツールによる SMB ファイルシステムストレージの管理 38 Unity ファミリー 4.2 SMB ファイルシステムにアクセスするためのホストの構成

39 第 4 章 Unity による CEE CAVA の使用 本章は 次のトピックで構成されています CAVA の概要 システム要件と制限事項 SMB 以外のプロトコル...42 NAS サーバでの CEE CAVA のセットアップ Unity による CEE CAVA の使用 39

40 Unity による CEE CAVA の使用 CAVA の概要 CEE(Common Event Enabler) パッケージは Unity システムを使用しているクライアントにウイルス対策ソリューション (Common Anti-Virus Agent) を提供します Windows システムでは業界標準の SMB プロトコルを使用します CAVA(Common Anti-Virus Agent) は サードパーティ製ウイルス対策ソフトウェアを使用して 既知のウイルスを Unity システム上のファイルに感染する前に特定および除去します Unity NAS サーバーには ウイルスに対する耐性がありますが Windows クライアントにも保護が必要です クライアント上でウイルス対策を行えば クライアントで感染ファイルがストレージサーバーに保存される可能性が低下し 感染ファイルを開いてしまった場合でもクライアントを保護できます CEE ソリューションは 以下のコンポーネントを使用します CEE CAVA ウイルスチェッククライアントを実行する NAS サーバー サードパーティ製 AV( ウイルス対策 ) エンジン CEE CAVA ソフトウェア Unity システムがあるドメインの少なくとも 1 台の Windows Server 2012 Windows Server 2008 Windows Server 台の Windows 7 または Windows 8 ワークステーションに サードパーティ製 AV エンジンおよび CEE CAVA ソフトウェアをインストールしておく必要があります このサーバは AV サーバと呼ばれます Windows 7 または Windows 8 ワークステーションでサードパーティ製 AV ソフトウェアが実行されている場合は CEE CAVA も Windows 7 ワークステーションで実行することができます この章では Unity で CEE CAVA を使用する方法について説明します CAVA の管理の詳細については サポート用 Web サイトで Using the Common Event Enabler on Windows Platforms を参照してください Unity NAS サーバー CEE CAVA ウイルスチェッククライアント Unity NAS サーバーは Windows ファイルシステムと共有 (SMB) Linux/UNIX ファイルシステムと共有 (NFS) またはその両方の運用を管理します CEE CAVA ソリューションでは SMB 用に構成された 1 台以上の NAS サーバおよび共有への Windows ユーザーアクセス権が Unity システムに必要です VC( ウイルスチェック ) クライアントは Unity NAS サーバーで実行される CEE CAVA エージェントです VC クライアントは AV エンジンと通信を行い AV エンジンが VC クライアントからの要求を処理します ウイルスのスキャンは SMB アクセスに対してのみサポートされています スキャンやその他の関連アクションの実行中は ファイルに対するいずれの SMB クライアントからのアクセスもブロックされます VC クライアントは次の処理を行います 各ファイルの名前をキューに入れ スキャン処理のために CEE CAVA に伝えます スキャンのためのイベントトリガーを発行および確認します 有効なイベントトリガーには次のよ うなものがあります 40 Unity ファミリー 4.2 SMB ファイルシステムにアクセスするためのホストの構成

41 Unity による CEE CAVA の使用 Unity システムでファイルの名前が変更された ファイルが Unity システムにコピーまたは保存された ファイルが Unity システム上で変更され 閉じられた サードパーティ製ウイルス対策ソフトウェアのサポート CEE CAVA ソフトウェア CEE CAVA ソリューションは AV エンジンと呼ばれるサードパーティ製ウイルス対策ソフトウェアを使用して 既知のウイルスを Unity システム上のファイルに感染する前に特定および除去します CAVA がサポートしている AV エンジンについては サポート用 Web サイトの Unity サポートマトリックスを参照してください CEE CAVA ソフトウェアは AV サーバーと呼ばれる Windows サーバー上で実行されるアプリケーションです このアプリケーションは 1 つまたは複数のサーバー上で実行されている Unity システム上に保存される SMB ファイルをスキャンする標準的なウイルス対策エンジンと通信を行います EMC Unity/VNX/VNXe NAS 管理スナップイン システム要件と制限事項 EMC Unity/VMX/VNXe NAS 管理スナップインは Unisphere に対する MMC スナップインです このスナップインを使用して Unity NAS サーバーの CEE ウイルスチェックパラメーターを表示または変更します CEE CAVA ソリューションの要件は次のとおりです ネットワーク上に 1 つ以上の NAS サーバが構成された Unity システム 各 NAS サーバーには 最低 2 台の CAVA サーバーによって構成される CAVA プールが必要 これは NAS サーバの viruschecker.conf ファイルで指定します EMC Unity/VNX/VNXe NAS 管理スナップインが Unity ドメインにアクセスできるクライアントシステムにインストールされていること このスナップインのインストールについては SMB のホストソフトウェアのインストール (11 ページ ) を参照してください Windows Server 2008 を使用している場合に CAVA の cavamon サイジングツールを使用する際は cava.mof ファイルを手作業でコンパイルする必要があります ドメイン内の 1 つまたは複数の AV サーバ上で サードパーティ製ウイルス対策ソフトウェアが実行されていること CEE CAVA は 32 ビットと 64 ビットの Windows 環境 およびそれに対応するサードパーティ製 AV エンジンをサポートしています 必要な AV エンジンのバージョンは オペレーティングシステムによって異なります 最新のサードパーティ製ソフトウェアシステムの要件については 適切なサードパーティベンダーの Web サイトまたはマニュアルを参照してください ドメイン内の各 AV サーバーに CEE CAVA ソフトウェアがインストールされていること Trend Micro を例外として サードパーティ製の AV プログラムは CEE CAVA の前に各 AV サーバにインストールする必要があります Trend Micro は CEE CAVA の後にインストールする必要があります AV 管理者が CEE CAVA プール内のすべての常駐 AV エンジンのウイルス定義ファイルを更新することを強く推奨します サードパーティ製ウイルス対策ソフトウェアのサポート 41

42 Unity による CEE CAVA の使用 SMB 以外のプロトコル CEE CAVA ソリューションは SMB プロトコルを実行しているクライアント専用です クライアントが NFS または FTP のプロトコルを使用してファイルの移動や変更を行っている場合 CEE CAVA ソリューションでは それらのファイルのウイルススキャンは行われません NAS サーバでの CEE CAVA のセットアップ NAS サーバ用 CEE CAVA ソリューションを実装するには 次のタスクを実行します ドメインユーザーアカウントの構成 (42 ページ ) ウイルスチェッカーパラメーターの構成 (45 ページ ) サードパーティ製ウイルス対策ソフトウェアのインストール (49 ページ ) CEE CAVA のインストール (50 ページ ) CEE AV エンジンの起動 (50 ページ ) ドメインユーザーアカウントの構成 ドメインユーザーアカウントの作成 CEE CAVA のインストールを行うには Unity NAS サーバーで Unity のウイルスチェック権限があると認識される Windows ユーザーアカウントが必要です このユーザーアカウントにより NAS サーバーでは CEE CAVA の要求が他のすべてのクライアントによる要求と区別されます ドメインユーザーアカウントを設定するには 次のタスクを実行します 1. ドメインユーザーアカウントの作成 (42 ページ ) 2. ウイルス対策のローカルグループの作成 (43 ページ ) 3. NAS サーバごとにウイルスチェック権限を設定する (43 ページ ) ウイルス対策ユーザーに Active Directory ドメインユーザーアカウントを作成するには : 手順 1. Windows Server 2012 Windows Server 2008 Windows Server 2003 に ドメイン管理者としてログインします 2. コントロールパネルから [ 管理ツール ] > [Active Directory ユーザーとコンピューター ] の順に選択します 3. コンソールツリーで [ ユーザー ] を右クリックし [ 新規 ] > [ ユーザー ] の順に選択します 4. [ 新しいオブジェクト - ユーザー ] ダイアログボックスで 新規ユーザーの姓 名 およびユーザーログイン名を指定して [ 次へ ] をクリックします 5. [ パスワード ] ダイアログボックスが開きます a. パスワードを入力し 確認のためもう一度入力します b.[ パスワードを無期限にする ] を選択します c.[next] をクリックし [Finish] をクリックします 42 Unity ファミリー 4.2 SMB ファイルシステムにアクセスするためのホストの構成

43 Unity による CEE CAVA の使用 ウイルス対策のローカルグループの作成 ドメイン内の各 NAS サーバにローカルグループを作成し 前のセクションで作成した新しいウイルス対策ユーザーを追加します Domain Admins にウイルス対策ユーザーを追加しなかった場合は ウイルス対策ユーザーを各 AV サーバのローカル管理者グループに追加します 手順 1. [Active Directory ユーザーとコンピューター ] で [EMC NAS サーバー ] をダブルクリックし [ コンピューター ] をクリックします 2. [ コンピューター ] ペインで NAS サーバーを右クリックして [ 管理 ] を選択します 3. [ コンピューターの管理 ] ウィンドウの [ システムツール ] で [ ローカルユーザーとグループ ] をダブルクリックします 4. [ グループ ] を右クリックし [ 新しいグループ ] を選択します 5. [ 新しいグループ ] ダイアログボックスで グループ名 ( viruscheckers など ) とそのグループの説明を入力し [ 追加 ] をクリックします 6. [ ユーザー コンピューター サービスアカウント グループの選択 ] ダイアログボックスが開きます a. 前のセクションで作成した AV ユーザーアカウントの名前を入力します b.[ 名前の確認 ] をクリックします NAS サーバごとにウイルスチェック権限を設定する c.[[ok]] をクリックして [[ ユーザー コンピュータ またはグループの選択 ]] ダイアログボックスを閉じ [[OK]] をクリックして [[ 新しいグループ ]] ダイアログボックスに戻ります 7. [ 作成 ] をクリックしてから [ 閉じる ] をクリックします グループが作成され グループのリストに追加されます Unity のウイルスチェック権限を 新しいローカルグループに割り当てます Microsoft Windows のローカルポリシーの設定ツールを使用して Unity ファイルシステムでのユーザー権限の割り当てを管理することはできません これらのツールでは リモートでユーザー権限の割り当てを管理することはできないためです 手順 1. コントロールパネルから [ 管理ツール ] > [EMC Unity VNX VNXe NAS Management] の順に選択します 2. NAS サーバがすでに選択されている ([Data Mover/NAS サーバの管理 ] の後に名前が表示されている ) 場合は 手順 4 に進みます 3. NAS サーバーが選択されていない場合は次の手順を実行してください a.[data Mover/NAS サーバの管理 ] を右クリックし [Data Mover/NAS サーバーに接続 ] を選択します b.[data Mover/NAS サーバの選択 ] ダイアログボックスで NAS サーバを選択するために [ 探す場所 :] リストボックスでドメインを選択してリストから NAS サーバを選択する ドメインユーザーアカウントの構成 43

44 Unity による CEE CAVA の使用 か [ 名前 ] フィールドに NAS サーバのコンピューター名 IP アドレス または NetBIOS 名入力します 4. [Data Mover/NAS サーバの管理 ] をダブルクリックし [Data Mover/NAS サーバのセキュリティ設定 ] をダブルクリックします 5. [ ユーザー権利の割り当て ] をクリックし 右ペインで [EMC ウイルスチェック ] をダブルクリックします 6. [ セキュリティポリシーの設定 ] ダイアログボックスで [ 追加 ] ボタンをクリックします 7. [ ユーザーまたはグループの選択 ] ウィンドウで以下を実行します a.[ 探す場所 :] フィールドで NAS サーバを選択します b. ウイルス対策のローカルグループの作成 (43 ページ ) で作成したアンチウイルス用グループを選択します c.[ 追加 ] [OK] の順にクリックして [ セキュリティポリシー設定 ] ダイアログボックスに戻ります 8. [[OK]] をクリックします Virus Checking ポリシーにファイルシステムのローカルグループが表示されます この権利はローカル権限でありドメイン権限ではありませんが それでもウイルス対策ユーザーは他のドメインユーザーと区別されます 9. ローカルの管理者権限を ウイルス対策エンジンソフトウェアを実行する各ホスト ( つまり AV サーバになるホスト ) のウイルス対策ユーザーアカウントに割り当てます AV サーバがドメインコントローラである場合 ローカル管理者グループはドメインコントローラで管理されないため ウイルスチェックを行うユーザーアカウントは ローカル管理者グループではなくドメイン管理者グループに加える必要があります ドメイン内の各 AV サーバについて 次の手順を実行します a. コントロールパネルで [ 管理ツール ] > [ コンピューターの管理 ] の順に選択します b.[ コンピューターの管理 ] ウィンドウの [ 操作 ] メニューで [ 別のコンピュータへ接続 ] を選択します a.[ コンピューターの選択 ] ウィンドウで AV( ウイルスチェッカー ) サーバを選択し [OK] をクリックします b.[ コンピューターの管理 ] ウィンドウが開きます a.[ システムツール ] を展開します b.[ ローカルユーザーとグループ ] を展開します c.[ グループ ] をクリックします c.[ 管理者 ] グループを右クリックし ドメインのウイルス対策のユーザーアカウントを追加してから [ プロパティ ] を選択します d.[ アカウントのプロパティ ] ウィンドウで [ 所属するグループ ] タブをクリックし [ 追加 ] をクリックします e.[ グループの選択 ] ダイアログボックスの [ 選択するオブジェクト名を入力してください ] ボックスに [Administrators] と入力して [OK] をクリックします f.[ok] をクリックして [ アカウントのプロパティ ] ダイアログボックスを閉じます 44 Unity ファミリー 4.2 SMB ファイルシステムにアクセスするためのホストの構成

45 Unity による CEE CAVA の使用 ウイルスチェッカーパラメーターの構成 このトピックでは ウイルスチェッカーのパラメーターを構成する手順を示します 手順 1. コントロールパネルから [ 管理ツール ] > [EMC Unity VNX VNXe NAS Management] の順に選択します 2. コンソールツリーで [Data Mover/NAS サーバ管理 ] ノードを展開します (Unity システムの場合は 各エントリーが NAS サーバを表します ) コンソールツリーに [AntiVirus] ノードが表示されます 選択した NAS サーバーの AntiVirus サービスのステータスは [ 停止中 ] または [ 実行中 ] になっています NAS サーバーを選択していない場合 いずれかを選択しないとウイルス対策管理スナップインを使用できません NAS サーバを選択した場合は その名前がコンソールツリーの Data Mover/NAS サーバ管理ノードの横に表示されます [AntiVirus] ノードの設定可能なパラメーター 3. [AntiVirus] ノードをクリックします パラメーター設定のリストが詳細ペインに表示されます 4. 詳細ペインで 次の手順を実行します a. 変更するパラメーターを右クリックしてから [ プロパティ ] を選択します そのパラメーターの [ プロパティ ] ダイアログボックスが表示されます パラメーターの説明は [AntiVirus] ノードの設定可能なパラメーター (45 ページ ) を参照してください b. パラメーターに複数の設定が含まれている場合は 設定の値を入力して [ 追加 ] をクリックし [OK] をクリックします c. パラメーターに 1 つの設定しか含まれていない場合は その設定の値を入力してから [OK] をクリックします Unity システムでは Unisphere でウイルス対策構成ファイルを作成できますが オフラインで作成したウイルス対策構成ファイルをアップロードすることもできます Unisphere でウイルス対策の構成にアクセスするには : 1.[ ストレージ ] を選択し [ ファイル ] > [NAS サーバー ] を選択します 2. 関連する NAS サーバーを選択し [ 編集 ] アイコンを選択します 3.[ セキュリティ ] タブを選択します 次の表では viruschecker.conf ファイルで設定できるパラメーターまたは EMC Unity/VNX/VNXe NAS 管理スナップインと併用できるパラメーターを説明します ウイルスチェッカーパラメーターの構成 45

46 Unity による CEE CAVA の使用 masks= パラメーターを設定すると ウイルスチェックのパフォーマンスに大きく影響する場合があります masks=*.* と設定するとすべてのファイルがスキャンされるため この設定は使用しないことをお勧めします 多くのファイルはウイルスに感染しないため masks=*.* は効率的な設定ではありません ほとんどの AV エンジンは すべてのファイルをスキャンしません viruschecker.conf ファイルの masks= および excl= パラメーターは AV エンジンによって使用される masks= および excl= 設定と同じであるか またはそのスーパーセットである必要があります 表 7 viruschecker.conf ファイルのパラメーター パラメーター説明例 httpport= ストレージシステムが使用する CEE マシン上の HTTP ポート番号 httpport=12228 httpport= パラメーターを設定する場合 次の Windows レジストリの HttpPort エントリと同じポート番号も指定する必要があります HKEY_LOCAL_MACHINE\SOFTWARE \EMC\CEE\Configuration masks= excl= addr= スキャン対象のファイルの拡張子を構成します スキャンから除外するファイルまたはファイル拡張子を定義します AV マシンの IP アドレスまたは完全修飾ドメイン名を設定します AV マシンの定義でのリンクローカルネットワークアドレスの使用はサポートされていません masks=*.exe 次の例では.exe.com.doc.docx.ppt ファイルだけがスキャンされます masks=*.exe:*.com:*.doc:*.docx :*.ppt excl=pagefile.sys:*.tmp 単一の IP アドレス :addr= 複数の IP アドレス : addr= : :[2510:0:175:111:0:4:aab:ad2]: [2510:0:175:111:0:4:aab:a6f]: IPv6 アドレスは 複数のアドレスを分離する区切り文字のコロンと区別するため 角かっこで囲む必要があります 完全修飾ドメイン名 : addr=wichita.nasdocs.emc.com AV マシンを一時的または永続的に削除するには CAVA サービスを停止する前にこのファイルからその IP アドレスを削除します 46 Unity ファミリー 4.2 SMB ファイルシステムにアクセスするためのホストの構成

47 Unity による CEE CAVA の使用 表 7 viruschecker.conf ファイルのパラメーター ( 続き ) パラメーター説明例 CIFSserver= <CIFS_server_name> ( オプシ ョン ) CAVA クライアントによって使用される NAS サーバ上のインターフェイス (NAS サーバ上の SMB/CIFS サーバを表す NetBIOS 名 コンピューター名 または IP アドレス ) を <CIFS_server_name> に指定しま す このパラメーターが指定されていない場合は NAS サーバにより最初に発見された SMB/CIFS サーバが使用されます CIFSserver=CIFS_Host2 AV マシンの定義でのリンクローカルネットワークアドレスの使用はサポートされていません maxsize=<n> ( オプション ) highwatermark=<n> ( オプショ ン ) チェック対象のファイルの最大サイズを設定します このサイズを超えるファイルはチェックされません プレフィックス 0x を付けて 16 進数で入力します maxsize は 0xFFFFFFFF 以下である必要があります このパラメーターが指定されていないか または 0 が指定されている場合は ファイルサイズの制限事項は設定されません ファイルサイズの単位はバイトで 最大は 4 GB です HighWaterMark パラメーターを編集します 進行中の要求の数が highwatermark の値よりも大きくなると ストレージシステムにログイベントが送信されます デフォルト値は 200 です 最大値は 0xFFFFFFFF です maxsize=0xffffffff highwatermark=200 lowwatermark=<n> ( オプション ) lowwatermark パラメーターを編集します 進行中の要求の数が lowwatermark の値よりも小さくなると Unity にログイベントが送信されます デフォルト値は 50 です waittimeout=<n> ( オプション ) スキャン中のファイルにクライアントがアクセスを試行する場合 クライアントをブロックできる最長時間をミリ秒単位で指定します デフォルト値は 0 ミリ秒であり これはファイルのスキャンが完了するまでクライアントアクセスがブロックされることを意味しています このパラメーターを設定しても 実際のファイルのスキャンには影響しません lowwatermark=50 waittimeout=0 milliseconds RPCRetryTimeout=<n> ( オプ ション ) RPC リトライのタイムアウトを設定します タイムアウトはミリ秒単位で設定されます RPCRetryTimeout=4000 milliseconds ウイルスチェッカーパラメーターの構成 47

48 Unity による CEE CAVA の使用 表 7 viruschecker.conf ファイルのパラメーター ( 続き ) パラメーター説明例 デフォルト値は 5000 ミリ秒です 最大値は 0xFFFFFFFF です RPCRequestTimeout=<n> ( オ プション ) RPC リクエストのタイムアウトを設定します ( ミリ秒単位 ) RPCRetryTimeout とともに動作します RPC が AV マシンに送信される場合 サーバが RPCRetryTimeout を過ぎた後に応答すると NAS サーバは RPCRequestTimeout に達するまでリトライします RPCRequestTimeout に達すると NAS サーバは次の利用可能な AV マシンに切り替えます デフォルト値は ミリ秒です RPCRequestTimeout=20000 milliseconds この値は Symantec Protection Engine コンテナファイル処理制限の値よりも大きい必要があります msrpcuser= ( オプション ) シンプルユーザーアカウント または CEE マシンで CAVA サービスを実行しているドメインの一部であるユーザーアカウントのいずれかに割り当てられる名前を指定します ユーザーアカウント msrpcuser=user1 ドメインユーザーアカウント : msrpcuser=cee1\user1 surveytime=<n> ( オプション ) shutdown= すべての AV マシンをスキャンしてサーバがオンラインであるか またはオフラインであるかを確認するために使用される間隔を指定します このパラメーターは 次に示す shutdown パラメーターとともに動作します 応答する AV マシンがない場合は 構成された shutdown パラメーターを使用してシャットダウン処理が開始されます これは 停止をトリガーする唯一のパラメーターです デフォルト値は 10 秒です min=1 max=3600 利用可能なサーバがない場合に行うシャットダウンアクションを指定します SurveyTime パラメーターで動作します このパラメーターには 次のオプションがあります shutdown=cifs 使用できる AV マシンがない場合 SMB/CIFS を停止します (Windows クライアントはいずれの Unity 共有にもアクセスできません ) surveytime=60 seconds shutdown=cifs 48 Unity ファミリー 4.2 SMB ファイルシステムにアクセスするためのホストの構成

49 Unity による CEE CAVA の使用 表 7 viruschecker.conf ファイルのパラメーター ( 続き ) パラメーター説明例 厳格なデータセキュリティが重要な環境では このオプションを有効化し すべての AV マシンが利用できない場合にファイルへのアクセスを防止する必要があります このオプションが有効化されておらず すべての AV マシンが利用できない場合は クライアントはウイルスチェックなしでファイルを変更できます 構成されている AV マシンが 2 台未満である場合には shutdown=cifs を無効化する必要があります shutdown=no 使用できる AV マシンがない場合 AV マシン一覧の再試行を継続します Watermark には Low Watermark と High Watermark の 2 種類があります それぞれの値に達すると イベントログが送信されます ウイルスチェックが機能するように イベントログを使用して NAS サーバを修正します shutdown=viruschecking 使用できる AV マシンがない場合 ウイルスチェックを停止します (Windows クライアントはウイルスチェックなしに Unity 共有にアクセスできます ) shutdown=no shutdown=viruschecking デフォルトは shutdown=no です サードパーティ製ウイルス対策ソフトウェアのインストール AV サーバーとなる予定のドメイン内の各ホストに サポートされているサードパーティ製ウイルス対策ソフトウェアパッケージ (AV エンジン ) をインストールする必要があります いずれかの AV サーバーがオフラインになったり Unity NAS サーバーから到達不能になったりしても ファイルスキャンが続行されるよう ドメインには少なくとも 2 つの AV サーバーを設定する必要があります 最新のサポートされる AV エンジンおよびバージョンの一覧については サポート用 Web サイトで E-Lab Interoperability Navigator を参照してください ホストに CEE CAVA をインストールする前に いずれかのサポートされるサードパーティ製ウイルス対策ソフトウェアパッケージ (Trend Micro ServerProtect パッケージを除く ) をホストにインストールする必要があります ホストに Trend Micro ServerProtect ウイルス対策ソフトウェアをインストールする場合は CEE CAVA のインストール (50 ページ ) の説明に従って まず CEE CAVA をインストールしてください サードパーティ製ウイルス対策ソフトウェアのインストールについては Using the Common Event Enabler on Windows Platforms を参照してください サードパーティ製ウイルス対策ソフトウェアのインストール 49

50 Unity による CEE CAVA の使用 CEE CAVA のインストール このトピックでは CAVA のインストール前に知っておく必要がある重要な情報を紹介します CEE CAVA は AV サーバーとなる予定のドメイン内の各ホストにインストールする必要があります インストールの手順については オンラインサポートの Using the Common Event Enabler on Windows Platforms を参照してください インストールウィザードの実行中 CEE のフルソフトウェアではなく CAVA のみをインストールする場合は セットアップタイプの手順で [ カスタム ] [CAVA] の順に選択し [ 次へ ] をクリックします CEE CAVA をインストール後 各 AV サーバで Services.msc を開き CAVA サービスを Log On に変更してから ドメインのウイルス対策アカウントを使用してサービスを実行します CEE CAVA の旧バージョンの削除 AV サーバーに旧バージョンの CEE CAVA がインストールされている場合は そのバージョンの CEE CAVA を削除し サーバーを再起動してから 新バージョンの CEE CAVA をインストールします Windows コントロールパネルの [ プログラムの追加と削除 ] ウィンドウを使用して 旧バージョンの CEE CAVA を削除します プログラムを削除するには ローカル管理者権限が必要です CEE AV エンジンの起動 アップグレード前に旧バージョンの CEE CAVA を削除しない場合は インストールの最初のページで [ 削除 ] オプションを選択し まず旧バージョンを削除してからインストールを続行することもできます CEE CAVA の再インストール CEE CAVA の再インストール中にインストールファイルが一時ディレクトリに展開されていなかった場合は 上書き保護メッセージが表示されることがあります このメッセージが表示された場合は [ 上書き保護 ] メッセージウィンドウで [ すべてにはい ] をクリックして 既存のファイルを上書きします この処理により 一時ディレクトリに最新バージョンのファイルを保管できます このトピックでは Unisphere で CEE AV エンジン ( ウイルスチェックエージェント ) を起動する手順を示します 手順 結果 1. Unisphere にアクセスします 2. [ ストレージ ] を選択し [ ファイル ] > [NAS サーバー ] を選択します 3. 関連する NAS サーバーを選択し [ 編集 ] アイコンを選択します 4. [ セキュリティ ] タブで [ ウイルス対策 ] サブタブを選択します 5. [ ウイルス対策サービスの有効化 ] を選択します 6. [ 現在の構成の取得 ] を選択して 現在の CAVA 構成ファイルを取得します これを cava.conf としてローカルで保存します このファイルは 初めて取得したときには 各フィールドの横にコメントが記述された空のテンプレートです 7. 必要に応じて cava.conf ファイルを編集します このファイルを初めて編集する場合は コメントを削除し このファイルで CAVA パラメーター (CAVA を実行するサーバーのリストなど ) を指定します 8. [ 新しい構成のアップロード ] を選択し 新しい構成を NAS サーバーにアップロードします Antivirus のステータスが [ ウイルス対策は実行中です ] に変わります 50 Unity ファミリー 4.2 SMB ファイルシステムにアクセスするためのホストの構成