隔離されたネットワーク環境（閉域ネットワーク）におけるパッチ管理
確認ビルド: Endpoint Central 11.3.2400.33
この記事では、閉域ネットワークを「隔離されたネットワーク」（=Air Gapped Network）の意味で使用しています。隔離されたネットワークとは、外部と一切の通信回線がないネットワークです。
Endpoint Centralサーバーがファイアウォールやプロキシ等を経由してインターネットに接続可能（管理対象コンピューターは接続不可能）な場合は、閉域ネットワークではないため、通常の利用方法での管理が可能です。システム構成の構成例をご覧ください。
閉域ネットワークにおけるパッチ管理
Endpoint Centralサーバーは通常インターネットに接続する必要がありますが、インターネットに接続しない閉域ネットワークでのパッチ管理にも対応できます。
この記事では、閉域ネットワーク（クローズドネットワーク、エアギャップネットワーク）におけるパッチ管理について説明しています。
前提条件と制限事項
Endpoint Centralを閉域ネットワークで使用する場合、以下の一部機能について制限が生じます。
- Red Hat Enterprise Linuxのパッチ管理に対応できません。詳細は Red Hat Enterprise Linuxのパッチ管理をご覧ください。
- Microsoft Officeのパッチを閉域ネットワーク内で配布する場合、Endpoint Central 11.4.2506.01以降である必要があります。それ以前のビルドの場合、パッチおよび依存パッチのダウンロードを手動で実行する必要があります（詳細な手順はお問い合わせください）。
- MDM機能において、Android と Windowsデバイスのみ管理可能になり、それ以外のiOS、macOS、Chrome OSといったその他のOSのデバイスを管理することができません（コンピューター管理においても、一部のmacOS向け構成機能にMDMを利用することから、macOSデバイスの管理に制限が生じます）。
- 自動配布機能はご利用いただけません。
- インベントリ管理機能において、コンピューターの保証情報をベンダーから自動的に取得する保証レポート機能を使用できません。
- インターネット回線にアクセスできない Endpoint Centralサーバーの代わりに、インターネット回線に接続可能な Windows コンピューターを用意する必要があります。このコンピューターは、こちらに記載されている各ドメインとの通信が許可されている必要があります。
- Endpoint Centralは、メールサーバーの設置を前提としています。閉域ネットワークでメールサーバーを設定できない場合、ユーザーの追加やスケジュールバックアップ設定などに制限が発生する場合があります。詳細はお問い合わせください。
閉域ネットワークにおけるパッチ管理手順
Endpoint Centralサーバーとは別に、インターネット接続可能なWindows コンピューターを1台用意し、ダウンロードツールを実行することで、閉域ネットワークでのパッチ管理を実現します。
その他の構成はシステム構成 →「構成例」をご覧ください。
次の手順にしたがってパッチ管理を行います。
閉域ネットワークにおけるパッチの適用
- 2. パッチDBの更新
- 3. パッチスキャン
- 4. パッチのダウンロード
1. プロキシ設定とダウンロードツールの入手
- ［パッチ管理］タブ → ［設定］ → ［プロキシ設定］ を開きます。
- カーソルを「プロキシ」に合わせて「編集」をクリックし、「インターネットへの接続なし（閉域）」を選択して「保存」をクリックします。
- ［パッチ管理］タブ → ［設定］ → ［パッチDBの設定］ を開き、「スケジュールパッチDBの更新」 → 「スケジュール実行の有効化」 のチェックを外します。
- 続いて、 インターネットに接続されているコンピューターにおいてこちらのリンクをクリックし、ダウンロードツール（UpdateManager.zip） をダウンロードして解凍します。
- パッチダウンロード用のコンピューターが直接インターネットに接続されていない（=プロキシサーバー経由で接続する）場合は、解凍したファイル内にある downloadMgr.prop をテキストエディタで開き、プロキシサーバー、ポート、および認証情報を入力します。
（例）
proxyHost=ProxyName
proxyPort=3128
proxyUser=username
proxyPass=password
ここまでのステップで、Endpoint Centralを閉域ネットワークで使用するためのセットアップが完了しました。以降のステップは、パッチの適用ごとに毎回実行します。
2. パッチDBの更新
- パッチダウンロード用のコンピューターでコマンドプロンプトを開き、zipファイルを解凍したUpdateManagerフォルダーに移動します。
- 管理するPCのOSに応じて、次のコマンドを実行します。
(Windows/Macのみを管理する場合)
patchsync.bat -c updatedb -b <ビルド番号>
(Windows/Mac/Linuxを管理する場合)patchsync.bat -c updatedb -i linux -b <ビルド番号>このコマンドを実行することで、最新のパッチ情報がupdatedbフォルダーに取得・格納されます。完了までしばらく待ちます。
- UpdateManager内に作成されたupdatedbフォルダーをフォルダごとコピーし、閉域ネットワーク内のEndpoint Centralがインストールされているコンピューターの <Endpoint Centralサーバーのインストールディレクトリ>/conf/CRSData フォルダーにコピーし、既存のファイルを置き換えます。
- コンソール画面にアクセスして ［パッチ管理］タブ → ［更新］ を開き、「パッチDBの更新」→「更新」をクリックします。これで、オンライン上のデータベースからではなく、updatedbフォルダーからパッチ情報を取得します。
3. パッチスキャンの実行
次に、管理対象PCでパッチスキャンを実行して、欠落しているパッチを特定します。この手順は、Endpoint Centralサーバーがオンラインの場合の手動パッチスキャン実行と変わりません。
- ［パッチ管理］タブ →［システム］ → ［管理中のシステム］ → ［システムスキャン］ を開き、「すべてスキャン」 をクリックします。
- すべての管理対象PCで、スキャンが完了したことを確認します。
4. パッチのダウンロード
パッチのダウンロードに必要な欠落パッチ一覧を出力し、パッチダウンロード用のコンピューターで必要なパッチをダウンロードします。
- ［パッチ管理］タブ → ［パッチ］ → ［欠落パッチ］ → 「欠落パッチをエクスポートする」 をクリックします。これにより、ダウンロードする必要がある欠落パッチ・依存パッチの一覧が downloadUrlJson.txt としてエクスポートされます。
- downloadUrlJson.txt を、インターネットに接続したPCのUpdateManagerフォルダーにコピーします。
- 管理者としてコマンドプロンプトを実行し、UpdateManagerフォルダーに移動して以下のコマンドを実行します。
patchsync.bat -c dwnpatch -f downloadUrlJson.txt - 欠落しているすべてのパッチがUpdateManagerフォルダー内にできたstoreフォルダーにダウンロードされます。ただしインターネットからのダウンロードができないパッチ（例：FortiClientなど）についてはダウンロードされません。ダウンロードが完了したら、コマンドプロンプト上の実行ステータスを確認します。
（ダウンロード完了時のコマンドプロンプトの表示例）
……
[INFO /main]: DCDownloadMgrProxyServer(269): The missing patch list includes Microsoft office patches, and their execution has started
[INFO /main]: DCDownloadMgrProxyServer(297): Download of all Microsoft Office patches has been completed successfully
[INFO /main]: DCDownloadMgrProxyServer(313): Download status : Failed
[INFO /main]: DCDownloadMgrProxyServer(314): Total number of patches downloaded successfully: 5 ←ダウンロードに成功したパッチの数です
[INFO /main]: DCDownloadMgrProxyServer(315): Total number of skipped patches during download: 3 ←ダウンロードがスキップされたパッチの数です
[INFO /main]: DCDownloadMgrProxyServer(316): Total number of patches that failed to download: 1 ←ダウンロードに失敗したパッチの数です
[INFO /main]: DCDownloadMgrProxyServer(318): Patch download failed. Check the following logs for more details: ←ダウンロード失敗の詳細が記録されたログファイルが以下に表示されます
[INFO /main]: DCDownloadMgrProxyServer(319): <TOOL_HOME>downloadRemarks.txt
[INFO /main]: DCDownloadMgrProxyServer(320): <TOOL_HOME>\logs\dwnload_tool_log.log
C:\Users\<folder path>\UpdateManager> - storeフォルダーの内容をコピーし、Endpoint Centralサーバーのパッチリポジトリに追加します
（パッチリポジトリのデフォルトの場所は<Endpoint Centralサーバーのインストールディレクトリ>\webapps\DesktopCentral\store です。なお、リポジトリの場所は変更可能です）。 - ［パッチ管理］タブ → ［パッチ］ → ［ダウンロード済みパッチ］ を開きます。「ダウンロード済みパッチを更新する」をクリックします。
手動でダウンロードしたすべてのパッチが、配布可能になりました。続いて、通常の手動配布を実行します。
この記事は、こちらのページ（英語）を参考にしています。