워크로드 보안 에이전트 배포
워크로드 보안 에이전트는 사용자 활동을 모니터링하고 스토리지 인프라 전반에서 잠재적인 보안 위협을 감지하는 데 필수적입니다. 이 가이드에서는 사용자 환경에 에이전트를 배포하는 방법에 대한 단계별 지침을 제공합니다. 시작하기 전에 에이전트 서버가 다음 사항을 충족하는지 확인하십시오. "시스템 요구 사항".
시작하기 전에
-
설치, 스크립트 실행, 설치 제거에는 sudo 권한이 필요합니다.
-
에이전트를 설치하는 동안 로컬 사용자 _cssys_와 로컬 그룹 _cssys_가 머신에 생성됩니다. 권한 설정에서 로컬 사용자 생성을 허용하지 않고 대신 Active Directory가 필요한 경우, 사용자 이름이 _cssys_인 사용자를 Active Directory 서버에 만들어야 합니다.
-
Data Infrastructure Insights 보안에 대해 읽어보세요."여기" .
모범 사례
Workload Security 에이전트를 구성하기 전에 다음 사항을 염두에 두십시오.
일시 정지 및 재개 |
일시 중지: ONTAP 에서 fpolicies를 제거합니다. 일반적으로 고객이 에이전트 VM 재부팅이나 스토리지 교체 등 상당한 시간이 소요될 수 있는 확장된 유지 관리 활동을 수행할 때 사용됩니다. 재개: ONTAP 에 fpolicies를 다시 추가합니다. |
고정 및 고정 해제 |
고정 해제는 최신 버전(사용 가능한 경우)을 즉시 가져오고 에이전트와 수집기를 업그레이드합니다. 이 업그레이드 중에 fpolicies의 연결이 끊어지고 다시 연결됩니다. 이 기능은 자동 업그레이드의 타이밍을 제어하려는 고객을 위해 설계되었습니다. |
권장 접근 방식 |
대규모 구성의 경우 수집기를 일시 중지하는 대신 고정 및 고정 해제를 사용하는 것이 좋습니다. 고정 해제 및 고정 해제를 사용하는 동안 일시 정지 및 재개할 필요가 없습니다. 고객은 에이전트와 수집가를 고정해 두고, 새 버전에 대한 이메일 알림을 받으면 30일 기간 내에 에이전트를 하나씩 선택적으로 업그레이드할 수 있습니다. 이 접근 방식은 fpolicies에 대한 지연 영향을 최소화하고 업그레이드 프로세스에 대한 더 큰 제어력을 제공합니다. |
에이전트 설치 단계
-
워크로드 보안 환경에 관리자 또는 계정 소유자로 로그인합니다.
-
*수집가 > 에이전트 > +에이전트*를 선택하세요.
시스템에 에이전트 추가 페이지가 표시됩니다.
-
에이전트 서버가 최소 시스템 요구 사항을 충족하는지 확인하세요.
-
에이전트 서버가 지원되는 Linux 버전을 실행하고 있는지 확인하려면 _지원되는 버전(i)_을 클릭합니다.
-
네트워크에서 프록시 서버를 사용하는 경우 프록시 섹션의 지침에 따라 프록시 서버 세부 정보를 설정하세요.

-
클립보드에 복사 아이콘을 클릭하여 설치 명령을 복사합니다.
-
터미널 창에서 설치 명령을 실행합니다.
-
설치가 성공적으로 완료되면 시스템에 다음 메시지가 표시됩니다.
-
구성해야 합니다"사용자 디렉토리 수집기" .
-
하나 이상의 데이터 수집기를 구성해야 합니다.
네트워크 구성
Workload Security에서 사용할 포트를 열려면 로컬 시스템에서 다음 명령을 실행하세요. 포트 범위와 관련하여 보안 문제가 있는 경우 _35000:35100_과 같이 더 작은 포트 범위를 사용할 수 있습니다. 각 SVM은 두 개의 포트를 사용합니다.
-
sudo firewall-cmd --permanent --zone=public --add-port=35000-55000/tcp -
sudo firewall-cmd --reload
플랫폼에 따라 다음 단계를 따르세요.
CentOS 7.x / RHEL 7.x:
-
sudo iptables-save | grep 35000
샘플 출력:
-A IN_public_allow -p tcp -m tcp --dport 35000:55000 -m conntrack -ctstate NEW,UNTRACKED -j ACCEPT *CentOS 8.x / RHEL 8.x*:
-
sudo firewall-cmd --zone=public --list-ports | grep 35000(CentOS 8용)
샘플 출력:
35000-55000/tcp
현재 버전에서 에이전트 "고정"
기본적으로 Data Infrastructure Insights Workload Security는 에이전트를 자동으로 업데이트합니다. 일부 고객은 자동 업데이트를 일시 중지하고 싶어할 수 있습니다. 이 경우 다음 중 하나가 발생할 때까지 에이전트가 현재 버전을 유지합니다.
-
고객이 자동 에이전트 업데이트를 재개합니다.
-
30일이 지났습니다. 30일은 에이전트가 일시 중지된 날이 아닌, 가장 최근의 에이전트 업데이트 날짜부터 시작됩니다.
각각의 경우에서 에이전트는 다음 워크로드 보안 업데이트 시 업데이트됩니다.
자동 에이전트 업데이트를 일시 중지하거나 다시 시작하려면 cloudsecure_config.agents API를 사용하세요.

일시 중지 또는 재개 작업이 적용되려면 최대 5분이 걸릴 수 있습니다.
워크로드 보안 > 수집기 페이지의 에이전트 탭에서 현재 에이전트 버전을 볼 수 있습니다.

에이전트 오류 문제 해결
알려진 문제와 해결 방법은 다음 표에 설명되어 있습니다.
| 문제: | 해결: |
|---|---|
에이전트 설치 시 /opt/netapp/cloudsecure/agent/logs/agent.log 폴더가 생성되지 않고 install.log 파일에 관련 정보가 제공되지 않습니다. |
이 오류는 에이전트 부트스트래핑 중에 발생합니다. 이 오류는 로거가 초기화되기 전에 발생하므로 로그 파일에 기록되지 않습니다. 오류는 표준 출력으로 리디렉션되고 서비스 로그에서 다음을 사용하여 볼 수 있습니다. |
에이전트 설치가 '이 Linux 배포판은 지원되지 않습니다.'라는 메시지와 함께 실패합니다. 설치를 종료합니다. |
이 오류는 지원되지 않는 시스템에 에이전트를 설치하려고 할 때 나타납니다. 보다 "에이전트 요구 사항" . |
에이전트 설치가 "-bash: unzip: 명령을 찾을 수 없습니다" 오류로 인해 실패했습니다. |
unzip을 설치한 후 설치 명령을 다시 실행하세요. 컴퓨터에 Yum이 설치되어 있다면 "yum install unzip"을 실행하여 압축 해제 소프트웨어를 설치해 보세요. 그런 다음 에이전트 설치 UI에서 명령을 다시 복사하여 CLI에 붙여넣어 설치를 다시 실행합니다. |
에이전트가 설치되어 실행 중입니다. 하지만 요원이 갑자기 멈췄습니다. |
에이전트 머신에 SSH를 실행합니다. 에이전트 서비스 상태를 확인하세요. |
에이전트에 50개 이상의 데이터 수집기를 추가할 수 없습니다. |
에이전트에 추가할 수 있는 데이터 수집기는 최대 50개입니다. 여기에는 Active Directory, SVM 및 기타 수집기 등 모든 수집기 유형이 결합될 수 있습니다. |
UI에서 에이전트가 NOT_CONNECTED 상태임을 표시합니다. |
에이전트를 다시 시작하는 단계입니다. 1. 에이전트 머신에 SSH를 실행합니다. 2. 다음 명령을 실행하여 에이전트 서비스를 다시 시작합니다. |
에이전트 VM이 Zscaler 프록시 뒤에 있어 에이전트 설치에 실패했습니다. Zscaler 프록시의 SSL 검사로 인해 워크로드 보안 인증서는 Zscaler CA에서 서명한 것처럼 표시되므로 에이전트는 통신을 신뢰하지 않습니다. |
Zscaler 프록시에서 *.cloudinsights.netapp.com URL에 대한 SSL 검사를 비활성화합니다. Zscaler가 SSL 검사를 수행하고 인증서를 교체하는 경우 Workload Security는 작동하지 않습니다. |
에이전트를 설치하는 동안 압축을 풀면 설치가 중단됩니다. |
"chmod 755 -Rf" 명령이 실패합니다. 작업 디렉토리에 다른 사용자의 파일이 있고 해당 파일의 권한을 변경할 수 없는 루트가 아닌 sudo 사용자가 에이전트 설치 명령을 실행하면 명령이 실패합니다. chmod 명령이 실패하여 나머지 설치 과정이 실행되지 않습니다. 1. "cloudsecure"라는 이름의 새 디렉토리를 만듭니다. 2. 해당 디렉토리로 가세요. 3. 전체 “token=…… … ./cloudsecure-agent-install.sh” 설치 명령을 복사하여 붙여넣고 Enter를 누릅니다. 4. 설치가 진행될 것입니다. |
에이전트가 여전히 SaaS에 연결할 수 없는 경우 NetApp 지원팀에 사례를 제출하세요. 사례를 열려면 Data Infrastructure Insights 일련번호를 제공하고, 기록된 대로 사례에 로그를 첨부하세요. |
케이스에 로그를 부착하려면: 1. 루트 권한으로 다음 스크립트를 실행하고 출력 파일(cloudsecure-agent-symptoms.zip)을 공유합니다. a. /opt/netapp/cloudsecure/agent/bin/cloudsecure-agent-symptom-collector.sh 2. 루트 권한으로 다음 명령을 하나씩 실행하고 출력을 공유하세요. a. id cssys b. groups cssys c. cat /etc/os-release |
cloudsecure-agent-symptom-collector.sh 스크립트가 다음 오류로 인해 실패합니다. [root@machine tmp]# /opt/netapp/cloudsecure/agent/bin/cloudsecure-agent-symptom-collector.sh 서비스 로그 수집 애플리케이션 로그 수집 에이전트 구성 수집 서비스 상태 스냅샷 생성 에이전트 디렉터리 구조 스냅샷 생성 …………………. …………………. /opt/netapp/cloudsecure/agent/bin/cloudsecure-agent-symptom-collector.sh: 52번째 줄: zip: 명령을 찾을 수 없습니다. 오류: /tmp/cloudsecure-agent-symptoms.zip을 만들지 못했습니다. |
Zip 도구가 설치되지 않았습니다. "yum install zip" 명령을 실행하여 zip 도구를 설치합니다. 그런 다음 cloudsecure-agent-symptom-collector.sh를 다시 실행합니다. |
useradd로 에이전트 설치가 실패합니다. /home/cssys 디렉토리를 생성할 수 없습니다. |
이 오류는 권한이 부족하여 사용자의 로그인 디렉토리를 /home 아래에 만들 수 없는 경우 발생할 수 있습니다. 해결 방법은 cssys 사용자를 만들고 다음 명령을 사용하여 로그인 디렉토리를 수동으로 추가하는 것입니다. sudo useradd user_name -m -d HOME_DIR -m : 사용자의 홈 디렉토리가 없으면 만듭니다. -d : 사용자 로그인 디렉토리의 값으로 HOME_DIR을 사용하여 새 사용자가 생성됩니다. 예를 들어, _sudo useradd cssys -m -d /cssys_는 사용자 _cssys_를 추가하고 루트 아래에 로그인 디렉토리를 만듭니다. |
설치 후 에이전트가 실행되지 않습니다. _Systemctl status cloudsecure-agent.service_는 다음을 보여줍니다. [root@demo ~]# systemctl status cloudsecure-agent.service agent.service – Workload Security Agent Daemon Service 로드됨: 로드됨(/usr/lib/systemd/system/cloudsecure-agent.service; 활성화됨; 공급업체 사전 설정: 비활성화됨) 활성: 활성화 중(자동 재시작)(결과: 종료 코드) 2021-08-03 21:12:26 PDT 화요일부터; 2초 전 프로세스: 25889 ExecStart=/bin/bash /opt/netapp/cloudsecure/agent/bin/cloudsecure-agent(코드=종료, 상태=126) 기본 PID: 25889(코드=종료, 상태=126), 8월 3일 21:12:26 데모 systemd[1]: cloudsecure-agent.service: 기본 프로세스가 종료되었습니다. 코드=종료, 상태=126/n/a 8월 3일 21:12:26 데모 systemd[1]: cloudsecure-agent.service 유닛이 실패 상태에 들어갔습니다. 08월 03일 21:12:26 데모 systemd[1]: cloudsecure-agent.service가 실패했습니다. |
cssys 사용자에게 설치 권한이 없어서 실패할 수 있습니다. /opt/netapp이 NFS 마운트이고 cssys 사용자가 이 폴더에 액세스할 수 없는 경우 설치가 실패합니다. cssys_는 Workload Security 설치 프로그램에서 생성된 로컬 사용자로, 마운트된 공유에 액세스할 권한이 없을 수 있습니다. _cssys 사용자를 사용하여 /opt/netapp/cloudsecure/agent/bin/cloudsecure-agent에 액세스를 시도하여 이를 확인할 수 있습니다. "권한 거부됨"이 반환되면 설치 권한이 없습니다. 마운트된 폴더 대신, 머신의 로컬 디렉토리에 설치하세요. |
에이전트는 처음에 프록시 서버를 통해 연결되었으며, 프록시는 에이전트 설치 중에 설정되었습니다. 이제 프록시 서버가 변경되었습니다. 에이전트의 프록시 구성은 어떻게 변경할 수 있나요? |
agent.properties를 편집하여 프록시 세부 정보를 추가할 수 있습니다. 다음 단계를 따르세요. 1. 속성 파일이 있는 폴더로 변경합니다: cd /opt/netapp/cloudsecure/conf 2. 좋아하는 텍스트 편집기를 사용하여 agent.properties 파일을 열어 편집합니다. 3. 다음 줄을 추가하거나 수정하세요: AGENT_PROXY_HOST=scspa1950329001.vm.netapp.com AGENT_PROXY_PORT=80 AGENT_PROXY_USER=pxuser AGENT_PROXY_PASSWORD=pass1234 4. 파일을 저장합니다. 5. 에이전트를 다시 시작합니다: sudo systemctl restart cloudsecure-agent.service |