Sophos, Server, Management Center, Client SafeGuard Enterprise インストールガイド

PDF

Dokument

Reklama

SafeGuard Enterprise

インストールガイド

製品バージョン : 7

ドキュメント作成日 : 2014年 12月

1 SafeGuard Enterprise について

SafeGuard Enterprise はモジュール型の総合データセキュリティソリューションです。ポ

リシーベースの暗号化機能で確実に情報を保護するため、サーバー、

、モバイルデバイ

ス上の情報を安全に共有できます。

SafeGuard Enterprise Management Center

は集中管理コンソールです。セキュリティポリ

シー、鍵、証明書、スマートカード、およびトークンが、一目でわかるロールベースの管理

機能で管理できます。ユーザーと管理者は、詳細なログとレポート機能を使って、すべての

イベントの概要をいつでも表示できます。

SafeGuard Enterprise で管理者以外のユーザーが使う主なセキュリティ機能は、データ暗号

化機能と不正アクセス防止機能です。

SafeGuard Enterprise

は、ユーザーが通常使用する環

境にシームレスに統合できるため、直感的な操作で簡単に使えます。 SafeGuard 固有の認

証システムである Power-on Authentication (POA) は、アクセス保護を実現し、ユーザーの

パスワード忘れにも簡単に対応できます。

注 : 一部のライセンスには含まれていない機能もあります。ライセンスで使用が許諾されて

いるモジュールや機能の詳細は、製品の販売元にお問い合わせください。

1.1 SafeGuard Enterprise コンポーネント

ここでは SafeGuard Enterprise のコンポーネントの概要や、コンポーネント間の関連につ

いて説明します。

1 つ以上の Microsoft SQL データベースに社内ネットワーク上のエンドポイントに関する情

報を保存します。管理者 (SafeGuard Enterprise ではマスターセキュリティ担当者または

MSO)

は、

SafeGuard Management Center

を使用してデータベースを管理し、新しいセキュ

リティ規則 ( ポリシー ) を作成します。

エンドポイントはデータベースからポリシーを取得し、正常に実行するとデータベースに報

告します。データベースとエンドポイント間の通信は、 SafeGuard Enterprise Server がイ

ンストールされている Web サーバー ( インターネットインフォメーションサービス (IIS)

ベース

)

によって行われます。

SafeGuard Enterprise

各コンポーネントの概要は次の表を参照してください。

コンポーネント説明

Microsoft SQL Server データ

ベースをベースにした

SafeGuard Enterprise データ

ベース

SafeGuard Enterprise データベースは、鍵 / 証明書、ユーザーとコン

ピュータについての情報、イベント、ポリシー設定など関連するす

べてのデータを保持しています。このデータベースには、 SafeGuard

Enterprise Server から SafeGuard Management Center のみを通じて

1 人のセキュリティ担当者 ( 通常は MSO) がアクセスする必要があり

ます。 SafeGuard Enterprise のデータベース ( 複数可 ) の作成と構成

は、ウィザードまたはスクリプトを使用して行います。

IIS ベースの Web サーバー上

の SafeGuard Enterprise

Server

Microsoft Internet Information Services (IIS) 。 .NET Framework 4 と

ASP.NET 4 が必要です。 SafeGuard Enterprise の Web サーバーは、

インターネットインフォメーションサービス (ISS) ベースである必

要があります。 SafeGuard Enterprise Server 専用の IIS を使用する

ことを推奨します。

インストールガイド

コンポーネント説明

SafeGuard Enterprise Server は、 SafeGuard Enterprise データベー

スと SafeGuard Enterprise エンドポイントとの間で情報のやり取り

を行います。

SafeGuard Enterprise Server

は、要求にもとづきポリ

シー設定をエンドポイントに送信します。これにはデータベースに

接続する必要があります。 SafeGuard Enterprise Server は、 Microsoft

インターネットインフォメーションサービス (ISS) ベースの Web

サーバー上のアプリケーションとして動作します。

基本認証と ASP .NET 4.5

クライアント、サーバー間の通信内容の暗号化方式に SSL を選択し

た場合、 ASP.NET 4.5

に加え、基本認証の役割を追加します。

管理コンピュータ上の

SafeGuard Management

Center

SafeGuard Enterprise で保護されているエンドポイント用の集中管

理ツール。鍵、証明書、ユーザー、コンピュータを管理し、 SafeGuard

Enterprise

ポリシーを作成します。

SafeGuard Management Center

は SafeGuard Enterprise データベースと通信します。 .NET Framework

4 が必要です。

ディレクトリサービス ( オプ

ション )

Active Directory をインポートしたものです。ユーザーとコンピュー

タなどの企業の組織構造を保持します。

エンドポイント上の

SafeGuard Enterprise の暗号

化ソフト

エンドポイント上でセキュアな認証とデータ暗号化を行う暗号化ソ

フトウェアです。 SafeGuard Enterprise で保護されるエンドポイン

トは、 SafeGuard Enterprise Server に接続する管理型か、またはサー

バーにまったく接続しない非管理型の構成を選択できます。管理型

エンドポイントは SafeGuard Enterprise Server から直接ポリシーを

受信します。非管理型エンドポイントは構成パッケージからポリシー

を取得します。構成パッケージはサードパーティのツールなどで展

開できます。

SafeGuard Enterprise

2 はじめに

このセクションでは、 SafeGuard Enterprise を正常にインストールするための準備方法につ

いて説明します。

■

新規インストール :SGN Install Advisor を使うと、デフォルトのポリシーなど管理コン

ポーネントの初期設定が簡単にできます。

SafeGuard Enterprise

を新規インストールす

るために SGN Install Advisor を起動するには、製品パッケージのフォルダから

SGNInstallAdvisor.bat

を起動します。ウィザードの指示に従ってインストールを

行います。

■

更新インストール

ガイドに記載されている手順に従ってください。

注 : SafeGuard Enterprise の詳細については、ビデオチュートリアルのご利用をお勧めし

ます。 SafeGuard Enterprise のインストール方法や SafeGuard Management Center の使用

方法を参照できます。詳細はソフォスの

Web

サイト

( http://www.sophos.comja-jp/ )

を参照

してください。

2.1 主な作業項目

SafeGuard Enterprise

のインストール手順は次のとおりです。

注 : SafeGuard Enterprise for Windows は、 Apple 社のハードウェアに対応していないため、

Boot Camp 環境にインストールすることはできません。

SafeGuard Enterprise

のコンポーネント

(.msi

パッケージ

)

は、すべて製品パッケージに含

まれています。

手

順

説明

1 インストーラをダウンロードします。

2 .NET Framework 4 (ASP.NET 4) をインストールします。

.NET 4.5 を使用する場合でクライアント、サーバー間の

通信内容の暗号化方式として

SSL

を選択するときは、

ASP.NET 4.5 に加え、基本認証の役割を追加します。

パッケージ /ツール

3 SafeGuard Enterprise の使用に必要なインターネットイ

ンフォメーションサービス (IIS) を設定します。

4 SafeGuard Enterprise Server をインストールします。 SGNServer.msi

5 SafeGuard Enterprise のマスターセキュリティ担当者の

Microsoft SQL Server のデータベース認証を設定します。

インストールガイド

手

順

説明パッケージ /ツール

6 スクリプトを実行し SafeGuard Enterprise データベース

を生成します。

製品パッケージの Tools\Database scripts ディレクトリ内のスクリプト

ユーザー、コンピュータ、ポリシー、鍵、レポートを一

元管理する管理コンソール SafeGuard Management

Center をインストールします。

SGNManagementCenter.msi

SafeGuard Management Center

を構成します

(

データ

ベース / データベースサーバーへの接続、証明書、マス

ターセキュリティ担当者のログオン情報 ) 。

SafeGuard Management Center

構

成ウィザード

9 SafeGuard Enterprise Server の登録と設定 : サーバー構成

パッケージを作成して Web サーバーにインストールし

ます。

SafeGuard Management Center 構

成パッケージツール

10 Active Directory を使用するか、または手動で組織構造を

作成します。

SafeGuard Management Center

11 暗号化前のエンドポイントの準備作業を行います。 SGxClientPreinstall.msi

12 エンドポイントを構成するための初期構成パッケージを

作成します。

SafeGuard Management Center 構

成パッケージツール

13 エンドポイントに暗号化ソフトウェアと初期構成パッケー

ジをインストールします。

利用可能なパッケージについては、

管理型エンドポイントと非管理型エ

ンドポイントについて

(p. 50) を参

照してください。

2.2 システム要件の確認

SafeGuard Enterprise をインストールする前にシステム要件を確認してください。

インストールおよびインストール後の安定稼働に必要なハードウェア / ソフトウェア、サー

ビスパックやディスク容量などのシステム要件について、

SafeGuard

のリリースノートの

一覧で、最新版のリリースノートを参照してください。 http://www.sophos.com/ja-jp/support/knowledgebase/112776.aspx

2.3 インストーラのダウンロード

ソフォスの

Web

サイトを開き、社内のシステム管理者から入手したアカウント情報で

「製品・アップデート版のダウンロード」ページにログオンし、インストーラをダウン

ロードします。

ダウンロードしたインストーラとドキュメントを、インストール先からアクセス可能な

場所に保存します。

SafeGuard Enterprise

2.4 言語設定

セットアップウィザードと各

SafeGuard Enterprise

コンポーネントの言語設定は次のとお

りです。

ウィザード

インストールおよび構成ウィザードは、お使いの OS で設定されている言語で表示されま

す。セットアップウィザードで

の設定言語を使用できない場合は、自動的にデフォル

トの英語が使用されます。

SafeGuard Management Center

SafeGuard Management Center の言語は、次のようにして設定します。

■ SafeGuard Management Center

のメニューで、「ツール

オプション

全般」をクリッ

クします。「ユーザー定義の言語を使用する」を選択し、使用可能な言語を選択します。

英語、ドイツ語、フランス語、および日本語に対応しています。

■ SafeGuard Management Center

を再起動します。選択した言語で表示されるようになり

ます。

エンドポイントにおける SafeGuard Enterprise

エンドポイントで表示する SafeGuard Enterprise の言語を設定するには、 SafeGuard

Management Center

の「全般設定」という種類のポリシーで、「カスタマイズ

クライア

ントで使用される言語」を指定します。

■ OS

の言語が設定されている場合は、

SafeGuard Enterprise

で

の言語設定が使用さ

れます。 SafeGuard Enterprise で OS の設定言語が使用できない場合、 SafeGuard

Enterprise の表示言語はデフォルトで英語になります。

■

使用可能な言語が

つ選択されると、エンドポイント上の

SafeGuard Enterprise

のオプ

ション名がその言語で表示されます。

2.5 他のソフォス製品との互換性

ここでは、

SafeGuard Enterprise 7.0

と他のソフォス製品との互換性について説明します。

2.5.1 SafeGuard LAN Crypt との互換性

SafeGuard LAN Crypt 3.7x と SafeGuard Enterprise 7.0 は、同じエンドポイントにインス

トールできます。 SafeGuard Data Exchange を使用する場合は、これらの製品を同じエン

ドポイント上で正常に動作させるために追加の互換性コンポーネントをインストールする必

要があります。

インストールガイド

注 : 互換性コンポーネントは製品パッケージに含まれています。 OS が 32 ビット版の場合

は、

SGFileEncCompLayer.msi

を、 64 ビット版の場合は

SGFileEncCompLayer_x64.msi

をインストールします。

SafeGuard LAN Crypt 3.7x

がインストール済みの場合

互換性コンポーネントをエンドポイントにインストールします。

2. SafeGuard

構成パッケージをエンドポイントにインストールします。

3. SafeGuard Data Exchange をエンドポイントにインストールします。

4. SafeGuard クライアント構成パッケージをエンドポイントにインストールします。

エンドポイントを再起動します。

注 : インストール中に SGLC Profile Loader というコンポーネントが使用中であるという

メッセージが表示されますことがあります。このメッセージは無視して構いません。

SafeGuard LAN Crypt と SafeGuard Enterprise が共通コンポーネントを共有していること

が原因で表示されます。そのようなコンポーネントは再起動時にアップデートされます。

SafeGuard Enterprise 7.0 がインストール済みの場合 :

1. SafeGuard LAN Crypt 3.7x をエンドポイントにインストールします。

互換性コンポーネントをエンドポイントにインストールします。

エンドポイントを再起動します。

注 : これよりも古いバージョンの場合、これらの製品を同じコンピュータにインストールす

ることはできません。たとえば、

SafeGuard Enterprise 7.0

がインストールされているコン

ピュータに SafeGuard LAN Crypt 3.6x をインストールしようとすると、セットアップが中

止され、エラーメッセージが表示されます。

2.5.2 SafeGuard PrivateCrypto と SafeGuard PrivateDisk の互換性

SafeGuard Enterprise 7.0

、 SafeGuard PrivateCrypto ( バージョン 2.30 以降 ) のスタンドア

ロン製品、および SafeGuard PrivateDisk ( バージョン 2.30 以降 ) のスタンドアロン製品は、

同じコンピュータにインストールできます。

SafeGuard PrivateCrypto と SafeGuard PrivateDisk の両方で SafeGuard Enterprise の鍵の

管理を共有できます。

2.5.3 SafeGuard RemovableMedia との互換性

SafeGuard Data Exchange コンポーネントは、 SafeGuard RemovableMedia と同じコン

ピュータにインストールできません。エンドポイントに SafeGuard Data Exchange をイン

ストールする前に、

SafeGuard RemovableMedia

がインストールされていないかどうかを

確認してください。インストールされている場合は、必ず SafeGuard RemovableMedia を

アンインストールしてから SafeGuard Data Exchange をインストールしてください。

SafeGuard Data Exchange

に切り替える前に、

1.20

よりも古いバージョンの

SafeGuard

RemovableMedia で作成したローカル鍵は、 SafeGuard Enterprise で保護されるコンピュー

タで使用することができます。しかし、

SafeGuard Enterprise

データベースに自動的には転

送されません。

SafeGuard Enterprise

2.5.4 Sophos Enterprise Console との互換性

Sophos Enterprise Console (SEC) を使用して暗号化機能を管理する場合は、 SafeGuard

Enterprise Server

または

SafeGuard Management Center

を

SEC

の管理サーバーがインス

トールされているサーバーにインストールしないでください。

2.6 全般的な制限事項

SafeGuard Enterprise

の使用にあたり、次の制限事項があることに注意してください。

■

SafeGuard Enterprise for Windows は、 Apple 社のハードウェアに対応していないため、

Boot Camp

環境にインストールすることはできません。

■

エンドポイントで Intel Advanced Host Controller Interface (AHCI) を使用している場合、

スロット 0 またはスロット 1 を起動ドライブにする必要があります。最高 32 個までハー

ドディスクを追加することができます。

SafeGuard Enterprise

は最初の

つのスロット

番号のみで実行されます。

■ SafeGuard

のボリュームベースの暗号化は、ダイナミックディスクおよび

GPT (GUID

パーティションテーブル ) ディスクに存在するボリュームでは利用できません。このよう

な環境の場合、インストールが中止されます。インストール後に、エンドポイントこの

ようなディスクが見つかった場合でも、サポートされません。

■

SafeGuard ボリュームベース暗号化や BitLocker サポートなどの SafeGuard フルディス

ク暗号化モジュールは、

SCSI

バスで接続されたハードドライブが搭載されているシス

テムには対応していません。

■

「ユーザーの簡易切り替え」には対応していません。

■

ターミナルサーバー環境で

SafeGuard Enterprise

を操作することはできません。

インストールガイド

3 SafeGuard Enterprise Server の設定

SafeGuard Enterprise Server は、 SafeGuard Enterprise Client のインターフェースとして動

作します。

SafeGuard Management Center

と同様にデータベースに接続し、

IIS (

インター

ネットインフォメーションサービス ) がインストールされている Web サーバー上のアプリ

ケーションとして稼働します。

SafeGuard Enterprise Server では、「タスクスケジューラ」で定期的に実行するタスクを

作成 ( スクリプトベース ) してスケジュール設定を行うことができます。設定したタスクは

SafeGuard Enterprise Server

で自動的に実行されます。スクリプトは

SafeGuard Enterprise

の製品パッケージに含まれています。詳細は、「 SafeGuard Enterprise 管理者ヘルプ」を参

照してください。

SafeGuard Enterprise Server は専用の IIS にインストールすることを推奨します。このよう

にすることでパフォーマンスが向上します。さらに、 SafeGuard Enterprise と他のアプリ

ケーションの競合

(

使用する

ASP.NET

のバージョンなど

)

を防止できます。

この章では、 IIS にタスクスケジューラ機能を含めて SafeGuard Enterprise Server をインス

トールする方法について説明します。最初にマイクロソフトのインターネットインフォメー

ションサービス (IIS) をインストール・構成する必要があります。

3.1 前提条件

次の前提条件を満たす必要があります。

■ Windows の管理者権限でログインできる。

■

Microsoft インターネットインフォメーションサービス (IIS) を使用できる。

IIS

は無償で利用できます。このソフトウェアは、

Windows

のインストール

DVD

や、マ

イクロソフト社の Web サイトから入手可能です。

■ SafeGuard Enterprise Server

と

SafeGuard Enterprise Client

の間で

SSL

転送の暗号化

を使用する場合、あらかじめ IIS が設定されている。詳細は

SSL による転送接続の保護

(p. 41) を参照してください。

証明書が発行されており、また、

SSL

を実装し、発行した証明書を参照するように

IIS サーバーが構成されている。

SafeGuard Enterprise Server

を構成するときに指定するサーバー名が、

SSL

証明書

に指定されているサーバー名と同じである。そうでない場合は、クライアントとサー

バーは通信できません。

SafeGuard Enterprise Server

ごとに異なる証明書が必要で

す。

Network Load Balancer

を使用する場合は、ポート範囲に

SSL

ポートが含まれている

ことを確認する。

■

.NET Framework 4 と ASP.NET 4 がインストールされていること。 SafeGuard Enterprise

製品ディレクトリ内にあります。

SafeGuard Enterprise

3.2 Microsoft インターネットインフォメーションサー

ビス (IIS) のインストール・設定

この章では、 SafeGuard Enterprise Server で実行する Microsoft インターネットインフォ

メーションサービス (IIS) を準備する方法について説明します。

3.2.1 Windows Server 2008/2008 R2 への IIS 7/7.5 のインストールと設

定

IIS は無償で利用できます。このソフトウェアは、 Windows のインストール DVD や、マイ

クロソフト社の Web サイトから入手可能です。

「スタート」メニューで、「すべてのプログラム

管理ツール

サーバーマネージャー」

の順にクリックします。

「サーバーマネージャ」で「役割 - 役割の追加」の順にクリックします。

「役割の追加ウィザード」の「開始する前に」ページで次の項目を確認します。

■

管理者用アカウントに強力なパスワードが設定されていること。

■

IP アドレスなどのネットワークの設定が構成されていること。

■ Windows Update

から最新のセキュリティ更新プログラムがインストールされている

こと。

「サーバーの役割の選択」で右側の一覧から「 Web サーバー (IIS) 」を選択します。操作

を指示するダイアログが表示されたら、「必要な機能を追加」をクリックします。「

Web

サーバー (IIS) 」は、「役割の追加ウィザード」のナビゲーションエリアの一覧に表示さ

れます。

「 Web サーバー (IIS) - 役割サービス」の順にクリックします。デフォルトの役割サービ

スを選択したままにします。

これ以外にも右側のペインで「

ASP.NET

」を選択します。同時に必要なサブ役割サービ

スがすべて選択されます。

7. IIS 7

の適切な構成に必要な「

IIS

管理スクリプトおよびツール 」を選択します。

「次へ」をクリックし、「インストール」、「閉じる」の順にクリックします。

ASP.NET アプリケーションをホストできるようにデフォルトの構成で IIS がインストー

ルされます。

9. http://< サーバー名

を開き、

Web

ページが正常に表示されることを確認します。詳細は

次のサイトを参照してください。 http://support.microsoft.com

3.2.1.1 IIS 7 上の .NET Framework 登録の確認

.NET Framework

バージョン

が必要です。このプログラムは、

SafeGuard Enterprise

の製

品パッケージに含まれています。

インストールガイド

IIS 6 または IIS 7 に正しいバージョンがインストールされていることを確認するには次の手

順を実行します。

「スタート」メニューから「プログラム名を指定して実行」を選択します。

次のコマンドを入力します。

Appwiz.cpl

コンピュータにインストールされているすべ

てのプログラムが表示されます。

3. .NET Framework Version 4 がインストールされていることを確認します。このバージョ

ンが表示されなかった場合は、インストールします。すべてデフォルト値を選択したま

まインストールウィザードに表示される指示に従います。

正しく登録されていることを確認するには、 C:\Windows\Microsoft.NET\Framework を参

照します。インストールされている各バージョンに対して「 v 4.0

」などバージョン番号

の付いたフォルダが作成されています。

3.2.1.2 IIS 7.0 上の ASP.NET の登録の確認

ASP.NET Version 4

がインストールされている必要があります。

1. ASP.NET がインストールされ、正しいバージョンで登録されていることを確認するに

は、 aspnet_regiis.exe -lv というコマンドをコマンドプロンプトに入力します。

Version 4.0

と表示されます。

3.2.2 Windows Server 2012/2012 R2 への IIS 8 のインストールと設定

IIS は無償で利用できます。このソフトウェアは、 Windows のインストール DVD や、マイ

クロソフト社の

Web

サイトから入手可能です。

「サーバーマネージャ」の「ダッシュボード」で「管理」をクリックし、「役割と機能

の追加」を選択します。

「役割と機能の追加ウィザード」の「開始する前に」ページで次の項目を確認します。

■

管理者用アカウントに強力なパスワードが設定されていること。

■

IP アドレスなどのネットワークの設定が構成されていること。

■ Windows Update から最新のセキュリティ更新プログラムがインストールされている

こと。

左側の一覧から「サーバーの役割」を選択し、「 Web サーバー (IIS) 」を選択します。ダ

イアログが表示されるので「機能の追加」をクリックします。「

Web

サーバーの役割

(IIS) 」が「役割と機能の追加ウィザード」の左側のリストに表示されます。

左側のペインの「 Web サーバーの役割 (IIS) 」の下に表示される「役割サービス」を選択

します。デフォルトの役割サービスを選択したままにします。

ここで下にスクロールして「アプリケーション開発」ノードを展開し、次の項目にチェッ

クを入れます。

■

ASP.NET 4.5

ISAPI

拡張

ISAPI フィルター

必要なサブロールは自動で選択されます。

SafeGuard Enterprise

「セキュリティ」ノードを展開して次の項目にチェックを入れます。

■

基本認証

Windows 認証

「次へ」をクリックし、「インストール」、「閉じる」の順にクリックします。

ASP.NET をホストする IIS サーバーがデフォルトの構成でインストールされます。

3.3 SafeGuard Enterprise Server のインストール

IIS を設定したら SafeGuard Enterprise Server を IIS サーバーにインストールできます。イ

ンストールパッケージ

SGNServer.msi

は製品パッケージにあります。

1. SafeGuard Enterprise Server をインストールするサーバーで、

SGNServer.msi

をダブ

ルクリックします。ウィザードの指示に従って必要な手順を実行します。

これ以降のダイアログではすべてデフォルトを指定します。インストールの種類「すべ

て」を選択すると、タスクスケジューラが自動インストールされます。

以上で、 SafeGuard Enterprise Server およびタスクスケジューラがインストールされます。

注

: SafeGuard Enterprise Server

をインストールすると、パフォーマンスを上げるために、

デフォルトで、ログ出力されたイベントが SafeGuard Enterprise のデータベースで連結さ

れなくなります。しかし、ログ出力イベントの整合性を保つには連結が必要です。連結はイ

ベントテーブルのすべてのエントリをつなぎあわせるので、エントリが削除された場合は

認識でき、整合性の確認機能でチェックできます。したがって、整合性を保護するために

は、手動でログ出力イベントの連結を設定する必要があります。詳細については、

SafeGuard

Enterprise 管理者ヘルプの「レポート」の章を参照してください。

インストールガイド

4 SafeGuard Enterprise データベースの

設定

SafeGuard Enterprise

は、鍵

証明書、ユーザーとコンピュータについての情報、イベント

とポリシー設定など関連するすべてのデータを保持します。 SafeGuard Enterprise データ

ベースは、 Microsoft SQL Server をベースにしたデータベースです。

該当するリリースノートに記載されるシステム要件を参照し、対応する

SQL Server

のバー

ジョンを確認します。 http://www.sophos.com/ja-jp/support/knowledgebase/112776.aspx

データベースは、初期構成時に

SafeGuard Management Center

で自動的に設定したり、製

品パッケージにある SQL スクリプトを使用して手動で設定したりできます。設定する社内

環境に応じて、どちらの方法を選択するべきか確認してください。詳細は、

データベースへ

のアクセス権限

(p. 18)

を参照してください。

パフォーマンスを上げるために、 SafeGuard Enterprise データベースを複数の SQL サーバー

に複製することができます。データベースの複製の設定方法については、

SafeGuard

Enterprise データベースの複製 (p. 69)

を参照してください。

異なる企業の場所、組織単位、またはドメインなどの異なるテナントに対して、複数の

SafeGuard Enterprise

データベースを作成および維持することができます

(

複数のテナン

ト ) 。複数のテナントの設定方法については、

Multi Tenancy の構成 (p. 28)

を参照してくだ

さい。

注 : データベースを恒久的にオンラインバックアップすることを推奨します。データベー

スを定期的にバックアップして、鍵、企業証明書、 User Machine Assignments (UMA) を保

護してください。データのバックアップは、一定の期間

(

毎日、毎週など

)

ごと、データを

はじめてインポートした後、あるいは大規模な変更の後などのタイミングで行うことをお勧

めします。

4.1 データベースの認証

SafeGuard Enterprise データベースに接続するためには、 SafeGuard Management Center

の最初のセキュリティ担当者をユーザー認証する必要があります。これは、次の方法で実行

できます。

■

Windows 認証 : 既存の Windows ユーザーを SQL ユーザーに昇格させる

■ SQL

認証

: SQL

ユーザーアカウントを作成する

SQL 管理者から、どの認証方法がユーザー ( セキュリティ担当者 ) にとって適切であるかを

調査してください。この情報は、データベースを生成する前、および

SafeGuard Management

Center 構成ウィザードを使った初期構成前に必要です。

ドメインの一部ではないコンピュータには SQL 認証を使用し、それ以外の場合は Windows

認証を使用してください。

SQL

認証を使用する場合は、データベースとの間の接続を

SSL

で保護することを強く推奨します。詳細は、

SSL の設定

(p. 41) を参照してください。

SafeGuard Enterprise

4.1.1 データベースへのアクセス権限

SafeGuard Enterprise の設定では、 SQL データベースとの連携にデータベースへの最低限

のアクセス権限を持つユーザーアカウントが

つだけ必要です。このユーザーアカウント

は SafeGuard Management Center で使用され、最初の SafeGuard Management Center セ

キュリティ担当者だけに発行されます。このため、確実に

SafeGuard Enterprise

データベー

スに接続できます。 SafeGuard Enterprise が実行中の場合、 1 人の SafeGuard Management

Center のセキュリティ担当者は SafeGuard Management Center のデータベースの読み取

り

書き込み権限のみ必要です。

SafeGuard Enterprise のデータベースは、手動で作成したり、初期構成時に SafeGuard

Management Center

で自動的に設定したりできます。自動的に作成する場合、最初の

SafeGuard Management Center のセキュリティ担当者は、 SQL データベース (db_creator)

に対する拡張アクセス権限が必要です。ただし、次回のインストール / 更新まで、 SQL 管理

者がこれらの権限を後で無効にできます。

SafeGuard Management Center を設定する際に拡張アクセス権限を付与したくない場合、

SQL

管理者はスクリプトを用いて

SafeGuard Enterprise

データベースを生成できます。デー

タベースを生成するためのスクリプトは製品パッケージに含まれています。

CreateDatabase.sql

と CreateTables.sql

という 2 種類のスクリプトを実行します。

Microsoft SQL Server

に必要な

SQL

アクセス権限は次の表を参照してください。

SQL Server 2012、SQL Server 2012 Express

データベースの生成

サーバー

マスタデータベース

SafeGuard Enterprise データベース

データベースの使用

サーバー

マスタデータベース

SafeGuard Enterprise データベース

アクセス権限 db_creator

なし db_ownerpublic ( デフォルト )

なし

なし db_datareader db_datawriter public ( デフォルト )

インストールガイド

4.1.2 SQL Server へのログオン用 Windows アカウントの構成

次の説明は SQL 管理者を対象としています。また、各設定の手順は Microsoft Windows

Server 2008

および

Microsoft SQL Server 2014 Standard/Express Edition

を対象にしていま

す。

SQL

管理者としてユーザーアカウントを作成する権限が必要です。

1. SQL Server Management Studio を開きます。アカウント情報を入力し、 SQL Server に

ログオンします。

「オブジェクトエクスプローラ」を開き、「セキュリティ」を右クリックし、「新規作

成」にカーソルを合わせ、「ログイン」をクリックします。

「ログイン

新規作成」の「全般」ページで、「

Windows

認証」を選択します。

「検索」をクリックします。設定する

Windows

ユーザーを探し、「

」をクリックし

ます。ユーザー名が「ログイン名」をして表示されます。

「既定のデータベース」 : SafeGuard Enterprise データベースを生成するためのスクリプ

トが使用されていなければ、「 Master 」を選択します。

「 OK 」をクリックします。

7. SafeGuard Management Center の初期構成中にデータベースを自動作成するには、次の

手順でアクセス権を変更する必要があります。「ログイン

新規作成」で左側の「サー

バーロール」をクリックし、アクセス権 / ロールを適用します。「 dbcreator 」を選択し

ます。 SafeGuard Enterprise をインストールすると、データベースロールは「 dbowner 」

にリセットできます。

4.1.3 SQL Server へのログオン用 SQL アカウントの作成

次の各設定手順は SQL 管理者を対象としています。ここでの説明は、 Microsoft SQL Server

2008 Standard Edition

がインストールされているすべての

Microsoft Windows Server 2008

エディションが対象です。

SafeGuard Enterprise

SQL 管理者としてユーザーアカウントを作成する権限が必要です。

1. SQL Server Management Studio を開きます。アカウント情報を入力し、 SQL Server に

ログオンします。

「オブジェクトエクスプローラ」を開き、「セキュリティ」を右クリックし、「新規作

成」にカーソルを合わせ、「ログイン」をクリックします。

「ログイン - 新規作成」の「全般」ページで、「 SQL Server 認証」を選択します。

「全般」ページの「ログイン名」で、次の手順を実行します。 a) SGN SQLSERVICE など新しいユーザーの名前を入力します。 b) アカウントのパスワードを入力・確認入力します。 c) 「パスワードポリシーを適用する」の選択を外します。 d) 「既定のデータベース」 : SafeGuard Enterprise データベースを生成するためのスク

リプトが使用されていなければ、「 Master 」を選択します。「 OK 」をクリックしま

す。

認証方法とアカウント情報をメモします。この情報は SafeGuard Management Center

のセキュリティ担当者に通知する必要があります。

インストールガイド

5. SafeGuard Management Center の初期構成中にデータベースを自動作成するには、次の

手順でアクセス権を変更する必要があります。「ログイン - 新規作成」の「全般」ペー

ジで、「サーバーロール」をクリックし、アクセス権

ロールを適用します。「 dbcreator

」

を選択します。 SafeGuard Enterprise をインストールすると、データベースロールは

「 dbowner

」にリセットできます。

これで、 SafeGuard Enterprise セキュリティ担当者の SQL ユーザーアカウントとアクセス

権限が設定されます。

4.2 SafeGuard Enterprise データベースの生成

SQL Server へのログオン用のユーザーアカウントの設定が完了したら、 SafeGuard Enterprise

データベースを生成する必要があります。次の 2 種類の方法があります。

■ SafeGuard Management Center

構成ウィザードを使用する

セキュリティ担当者の権限を用いると、初期構成時に SafeGuard Management Center

で

SafeGuard Enterprise

データベースを簡単に生成できます。

SafeGuard Management

Center 構成ウィザードの指示に従い、データベース作成を含む、基本設定を行うことが

できます。データベースを生成するには、 SafeGuard Management Center のインストー

ル、構成を実行後

( SafeGuard Management Center

の設定

(p. 26)

を参照

)

、該当するア

クセス権限を変更します

( SafeGuard Enterprise データベースのアクセス権の変更 (p. 23)

を参照

)

。

■

製品パッケージ内の SQL スクリプトを使用する

この方法は SafeGuard Management Center を設定する際に拡張 SQL アクセス権限を付

与したくない場合に選択します。

どの方法を適用するかは使用しているシステム環境によって異なります。 SQL 管理者と

SafeGuard Enterprise

セキュリティ担当者との間で十分に検討することを推奨します。

SafeGuard Enterprise

4.2.1 前提条件

次の前提条件を満たす必要があります。

■ Microsoft SQL Server

がインストール・設定済みである必要があります。小規模の企業

の場合は、ライセンス料金の発生しない Microsoft SQL Express Edition の使用をお勧め

します。

■

パフォーマンス上の理由から、 Microsoft SQL Server は SafeGuard Enterprise Server が

インストールされているコンピュータにインストールしないでください。

■

データベース認証の方法とデータベースのアクセス権限を明確にする必要があります。

4.2.2 スクリプトによる SafeGuard Enterprise データベースの作成

SafeGuard Management Center の構成中に自動的に SafeGuard Enterprise データベースを

作成する場合は、ここでの手順は読み飛ばしてください。

SafeGuard Management Center

の構成中に拡張した SQL のアクセス権を使用したくない場合は、この手順を実行してくだ

さい。このために、製品パッケージ (Tools フォルダ ) に次の 2 つのデータベーススクリプ

トが用意されています。

■

CreateDatabase.sql

■

CreateTables.sql

ここでの説明は SQL 管理者を対象としています。使用するシステムは Microsoft SQL Server

2008 Standard Edition

です。

SQL 管理者としてデータベースを作成する権限が必要です。

スクリプト CreateDatabase.sql および CreateTables.sql を SafeGuard Enterprise の製

品パッケージから

SQL Server

にコピーします。

「

CreateDatabase.sql

」をダブルクリックします。

Microsoft SQL Server Management

Studio が起動します。

アカウント情報を入力し、 SQL Server にログオンします。

スクリプトのはじめの FILENAME (MDF, LDF) の下にある作成先パスが、ローカルの

ハードドライブに存在することを確認します。必要に応じて訂正します。

ツールバーの「実行」をクリックしてデータベースを生成します。 SafeGuard という

データベースが作成されます。次に、製品パッケージのスクリプト

CreateTables.sql

を

使用してテーブルを生成します。

6. CreateTables.sql をダブルクリックします。 Microsoft SQL Server Management Studio

で新たなペインが開きます。

スクリプトのはじめに use SafeGuard

と入力し、テーブルを作成するデータベース、

SafeGuard Enterprise のデータベースを選択します。

ツールバーの「実行」をクリックしてテーブルを生成します。

SafeGuard Enterprise データベースと関連するテーブルが作成されます。

インストールガイド

4.3 SafeGuard Enterprise データベースのアクセス権の

変更

スクリプトまたは SafeGuard Management Center を使って SafeGuard Enterprise データ

ベースを作成すると、アクセス許可が変更されることがあります。データベース上のユー

ザーには、さまざまロールやアクセス権を割り当てることができますが、

SafeGuard

Enterprise データベースへの接続には、最低限の権限のみが必要です。

1. SQL Server Management Studio

を開きます。アカウント情報を入力し、

SQL Server

に

ログオンします。

「オブジェクトエクスプローラ」を開き、「セキュリティ」、「ログイン」の順にダブ

ルクリックします。

ユーザー名を右クリックし、「プロパティ」をクリックします。

左側の「ユーザーマッピング」を選択します。「このログインにマップされたユーザー」

の下から「

SafeGuard

」というデータベースを選択します。

「データベースロールのメンバーシップ」で、「 db_datareader

」、「 db_datawriter

」、

および「 public 」を選択し、 SafeGuard Enterprise データベースの使用に必要な最小の

アクセス許可を設定します。

「 OK 」をクリックします。

4.4 SQL Services、名前付きパイプ、TCP/IP の設定の確

認

ここでの説明は、 Microsoft SQL Server 2008 Standard または Express Edition がインストー

ルされている

Microsoft Windows Server 2012 (R2)

が対象です。

1. SQL Server Configuration Manager を開きます。

左側のナビゲーションツリーから、「 SQL Server Services 」を選択します。

「 SQL Server 」と「 SQL Server Browser 」の「 State 」が「 Running 」になっている

ことと、「

Start mode

」が「

Automatic

」になっていることを確認します。

左側のナビゲーションツリーから、「 SQL Server Network Configuration 」を選択し、

現在のインスタンスを選択します。

プロトコル「

Named Pipes

」を右クリックし、「

Enabled

」をクリックします。

プロトコル「

TCP/IP

」を右クリックし、「

Enabled

」をクリックします。

もう一度、プロトコル「

TCP/IP

」を右クリックし、「

Properties

」をクリックします。

「 IP Addresses 」タブの「 IPAll 」の下の「 TCP Dynamic Ports 」を空白のままにしま

す。「

TCP Port

」に

1433

と入力します。

8. SQL サービスを再起動します。

SafeGuard Enterprise

4.5 Windows Server 2008 (R2) における Windows ファ

イアウォールの規則の作成

ここでの説明は、 Microsoft SQL Server 2008 Standard または Express Edition がインストー

ルされている Microsoft Windows Server 2012 (R2) が対象です。この構成を使用する場合

は、次の手順を実行して確実な

SafeGuard Enterprise

データベースと

SafeGuard Management

Center の接続を確立させます。

1. SQL Server

のインスタンスが作成されているコンピュータで、「スタート」をクリック

し、「管理ツール」を選択し、「セキュリティが強化された Windows ファイアウォー

ル」をクリックします。

左側のナビゲーションツリーから、「受信の規則」を選択します。

メニューバーの「操作」をクリックし、「新しい規則」をクリックします。「新規の受

信の規則ウィザード」が開きます。

「規則の種類」ページで、「カスタム」を選択し、「次へ」をクリックします。

「プログラム」ページで、この規則を適用するプログラムとサービスを選択し、「次へ」

をクリックします。

「プロトコルおよびポート」ページで、「プロトコルの種類」ドロップダウンリストか

ら「 TCP 」を選択します。「ローカルポート」ドロップダウンリストから、「特定のポー

ト」を選択し、その下の入力欄に「

1433

」と入力します。「リモートポート」ドロップ

ダウンリストから、「すべてのポート」を選択します。「次へ」をクリックします。

「スコープ」ページで IP アドレスを指定すると、そのアドレスを介して送受信される

ネットワークトラフィックに対してのみ、規則が適用されます。適宜設定を行い、「次

へ」をクリックします。

「操作」ページで、「接続を許可する」を選択し、「次へ」をクリックします。

「プロファイル」ページで、この規則を適用するタイミングを選択し、「次へ」をク

リックします。

10.

「名前」ページで、作成した規則の名前と説明を入力し、「完了」をクリックします。

4.6 SQL Server へのログオン用 Windows 認証の構成

ここでの説明は、 Microsoft Windows Server 2008 にインストールされている Microsoft SQL

Server 2012 Standard Edition および IIS 7 が対象です。

Windows

認証を行う環境で、

SafeGuard Enterprise Server

と

SafeGuard Enterprise

データ

ベースの間で通信を行うには、 Active Directory のグループに属するユーザーを作成する必

要があります。ローカルファイルのアクセス許可を調節し、

SQL

ユーザーアカウントを

IIS

のアプリケーションプールの ID として指定する必要があります。

「スタート - ファイル名を指定して実行」の順に選択します。「 dsa.msc

」と入力しま

す。「

Active Directory

ユーザーとコンピュータ」スナップインを開きます。

左側のナビゲーションツリーで、ドメインツリーを展開し、「

Builtin

」を選択します。

それぞれの

Windows

ユーザーを次のグループに追加します。

IIS_IUSRS

、

Performance

Log Users 、 Performance Monitor Users 。

スナップインを閉じます。

インストールガイド

ローカルファイルシステムの Windows エクスプローラで、 C:\Windows\Temp というフォ

ルダを右クリックし、「プロパティ」タブを選択します。「プロパティ」で「セキュリ

ティ」タブを選択します。

「セキュリティ」で「追加」をクリックし、それぞれの

Windows

ユーザー名を「選択す

るオブジェクト名を入力してください」フィールドに入力します。「 OK 」をクリックし

ます。

「セキュリティ」の「アクセス許可」で「詳細設定」をクリックします。「 [ ユーザー名 ]

のセキュリティの詳細設定」ダイアログの「アクセス許可」タブで「編集」をクリック

します。「オブジェクト」タブで次の項目を「許可」に設定します。フォルダの一覧 /

データの読み取り、ファイルの作成

データの書き込み、削除。

「

」をクリックして「

[

ユーザー名

]

のプロパティ」、「

Windows

エクスプローラの

順に閉じます。

「インターネットインフォメーションサービスマネージャ」を開きます。

10.

左側の「接続」ペインから、設定するサーバーノードの「アプリケーションプール」を

選択します。

11.

右側に表示される「アプリケーションプール」リストから、「 SGNSRV-Pool 」を選択

します。

12.

右側の「操作」ペインで、「詳細設定」を選択します。

13.

「詳細設定」で、「プロセスモデル」の下の「 ID 」を選択し、右側に表示される「 ...

」

ボタンをクリックします。

14.

「アプリケーションプール

」で「カスタムアカウント」を選択し、「設定」をクリッ

クします。

15.

「資格情報の設定」で、指定する Windows のユーザー名を次の形式で入力します。ドメ

イン名

\<Windows

ユーザー名

。 Windows パスワードを入力・確認入力し、「 OK 」を

クリックします。

16.

左側の「接続」ペインで、設定したサーバーノードを選択し、「操作」ペインから「再

起動」をクリックします。

17.

左側の「接続」ペインのサーバーノードを展開し、「サイト」、「 Default Web Site 」

の下から、「

SGNSRV

」を選択します。

18.

中央の

SGNSRV

のホームページで「認証」をダブルクリックします。

19.

「匿名認証」を右クリックし、「編集」を選択します。

20.

「匿名ユーザー

」に対して、「特定のユーザー」を選択し、ユーザー名が

IUSR

であ

ることを確認します。必要に応じて訂正します。

21.

「 OK 」をクリックします。

これで、 Windows アカウントを使用して SQL Server にログオンする場合に必要な追加設

定が完了します。

SafeGuard Enterprise

5 SafeGuard Management Center の設定

ここでは、 SafeGuard Management Center のインストールと設定について説明します。

SafeGuard Management Center

は、

SafeGuard Enterprise

用の集中管理ツールです。この

ツールは SafeGuard Enterprise の管理に使用する管理者用コンピュータにインストールし

ます。

SafeGuard Management Center

は、

SafeGuard Enterprise

のデータベースにアクセ

ス可能なネットワーク上のコンピュータにインストールできます。

SafeGuard Management Center は、テナント固有データベース設定 (Multi Tenancy) を使用

して複数のデータベースに対応します。企業の場所、組織単位、またはドメインなどの異な

るテナントに対して、異なる SafeGuard Enterprise データベースを設定および維持するこ

とができます。また、これらのデータベース設定をファイルにエクスポートしたり、ファイ

ルからインポートし、管理負荷を軽減することもできます。

5.1 前提条件

次の前提条件を満たす必要があります。

■ Windows の管理者権限があることを確認します。

■

.NET Framework 4 がインストールされている必要があります。 SafeGuard Enterprise 製

品ディレクトリ内にあります。

■

SafeGuard Management Center を構成する際に SafeGuard Enterprise のデータベース

を新規作成するには、適切な

SQL

へのアクセス許可と認証情報が必要です。詳細は、

データベースへのアクセス権限 (p. 18)

を参照してください。

■

SafeGuard Enterprise データベースと SafeGuard Management Center を異なるコン

ピュータにインストールする場合は、必ず

SQL Server 2012 Native Client

と

SQL Server

2014 Command Line Utilities がインストールされているコンピュータに SafeGuard

Management Center

をインストールしてください。これらのコンポーネントは、

SafeGuard Enterprise 製品パッケージのサードパーティ製品用フォルダにあります。

5.2 SafeGuard Management Center のインストール

製品のインストール先フォルダから

SGNManagementCenter.msi

を起動します。ウィ

ザードの指示に従って必要な手順を実行します。

続いて表示されるインストーラのダイアログボックスで、以下を除き、デフォルトの設

定をそのまま使用します。インストールの種類を選択するページで、以下のいずれかを

実行します。

■ SafeGuard Management Center が単一のデータベースだけに対応するように設定す

るには、「標準」を選択します。

インストールガイド

■ SafeGuard Management Center が複数のデータベース (Multi Tenancy) に対応する

ように設定するには、「完全」を選択します。詳細は Multi Tenancy の構成

(p. 28)

を参照してください。

SafeGuard Management Center がインストールされました。必要に応じてコンピュータを

再起動します。

SafeGuard Management Center

で鍵をバックアップします。

5.3 SafeGuard Management Center ヘルプシステムの表

示

SafeGuard Management Center

のヘルプはブラウザから表示します。用語による検索はも

ちろん、内容ごとにもヘルプトピックを表示できる総合的なヘルプ機能です。ヘルプシステ

ムのすべての機能を有効にするには、ブラウザで JavaScript を有効にする必要があります。

Microsoft Internet Explorer

で表示した場合、次のように動作します。

■

Windows 7 - Internet Explorer 8 - デフォルトのセキュリティ設定 :

■ Internet Explorer

がスクリプトの実行をブロックしたという情報バーは表示されませ

ん。

■

JavaScript の実行が可能になっています。

注

: JavaScript

を無効にした場合でも、

SafeGuard Management Center

のヘルプシステム

を表示・操作できます。ただし、検索機能などは使用できません。

5.4 SafeGuard Management Center の構成

インストール後に、

SafeGuard Management Center

を設定する必要があります。

SafeGuard

Management Center 構成ウィザードは、初期設定の操作を支援する機能で、 SafeGuard

Management Center

の基本設定やデータベースの接続設定が簡単に行えます。インストー

ル後、最初に SafeGuard Management Center を開始すると、このウィザードが自動的に開

きます。

SafeGuard Management Center

は、単一のデータベースまたは複数のデータベース

(Multi

Tenancy) と連動するように設定できます。

注

: Single Tenancy

設定および

Multi Tenancy

設定を行うには、構成ウィザードを使って以

下の初期設定を行う必要があります。

5.4.1 前提条件

次の前提条件を満たす必要があります。

■ Windows

の管理者権限があることを確認します。

■

次の情報を手元に用意します。この情報は必要に応じ、社内の SQL 管理者から取得でき

ます。

SQL

のアカウント情報

SafeGuard Enterprise

データベースを実行する

SQL

サーバー名。

SafeGuard Enterprise

SafeGuard Enterprise データベースがすでに作成済みの場合はその名前。

5.4.2 Multi Tenancy の構成

異なる SafeGuard Enterprise データベースを設定し、 SafeGuard Management Center の 1

つのインスタンスとして維持することができます。これは、異なるドメイン、組織単位、ま

たは企業の場所などで異なるデータベース設定を使用する場合に特に便利です。

注

各データベース

(

テナント

)

ごとに異なる

SafeGuard Enterprise Server

インスタンスを

設定する必要があります。

以前に作成した設定をファイルからインポートしたり、新規に作成したデータベース設定を

エクスポートして後で再利用すると、設定が簡素化されます。

Multi Tenancy 対応の SafeGuard Management Center を設定するには、まず初期設定を行

い、次に

Multi Tenancy

対応の特定の追加設定手順を実行します。

5.4.3 SafeGuard Management Center の初期構成の開始

SafeGuard Management Center をインストールしたら初期構成を行う必要があります。初

期構成は Single Tenancy モードと Multi Tenancy のモードの両方で行う必要があります。

SafeGuard Management Center

構成ウィザードの起動方法は次のとおりです。

「スタート」メニューから SafeGuard Management Center を選択します。構成ウィ

ザードが起動します。画面の指示に従って必要な手順を実行してください。

「ようこそ」ページで、「次へ」をクリックします。

5.4.4 データベースサーバー接続の構成

SafeGuard Enterprise

のすべての暗号化ポリシーや設定はデータベースに格納されます。

このデータベースと SafeGuard Management Center および SafeGuard Enterprise Server

を通信させるには、データベースアクセスの認証方法

(Windows NT

認証または

SQL

認証

)

を指定する必要があります。 SQL 認証を行うデータベースサーバーに接続する場合は、適

切な SQL アカウント情報を手元に用意してください。必要な場合、この情報はユーザーの

SQL

管理者から取得できます。

「データベースサーバーの接続」ページで次の手順を実行します。

■

「接続設定」で「データベースサーバー」リストから

SQL

データベースサーバーを

選択します。 Microsoft SQL Server がインストールされているネットワーク上のすべ

てのコンピュータが一覧に表示されます。サーバーを選択できない場合は、サーバー

名または

アドレスと

SQL

インスタンス名を手動で入力します。

■

「

SSL

の使用」を選択し、

SafeGuard Management Center

と

SQL

データベースサー

バー間の接続を保護します。 SQL 認証情報の転送を暗号化するため、「認証」で「次

のログオン情報で SQL Server 認証を使用する」を選択した場合は特にこの設定を推

奨します。

SSL

暗号化を使用するには、事前に

SQL

データベースサーバーで

SSL

環境を設定して稼働させておくことが必要です。詳細は

SSL による転送接続の保護

(p. 41)

を参照してください。

インストールガイド

「認証」で、このデータベースサーバーのインスタンスにアクセスする際の認証タイプ

を有効にします。この設定は SafeGuard Management Center とデータベースを通信さ

せるために必要です。

■

Windows ログオン情報を使用するときは、「 Windows NT 認証を使用する」選択し

ます。

注 : コンピュータがドメインに参加しているときは、この種の認証を使用します。し

かし、ユーザーがデータベースに接続するには認証が必要なため、追加の構成を行う

(p. 19)

、

および

SQL Server へのログオン用 Windows 認証の構成

(p. 24) を参照してくださ

い。

■

SQL ログオン情報を使用してデータベースにアクセスするときは、「次のログオン

情報で

SQL Server

認証を使用する」を選択します。社内の

SQL

管理者が作成した

SQL ユーザーアカウントのアカウント情報を入力します。この情報は必要に応じて

社内の SQL 管理者から取得します。

注

コンピュータがドメインに参加していないときは、この種類を使用します。デー

タベースサーバーとの接続をセキュリティで保護するときは、必ず「 SSL を使用す

る」を選択してください。

「次へ」をクリックします。

データベースサーバーへの接続が確立されました。

5.4.5 データベースの作成または選択

「データベースの設定」ページで、管理データを格納するために、既存のデータベースを使

うか新しいデータベースを使うかを指定します。

次のいずれか 1 つを実行します。

■

データベースがまだ存在しない場合、「新しいデータベースに名前を付けて作成」を

クリックします。新しいデータベースの名前を入力します。これを行うには、適切な

SQL

アクセス権限が必要です。詳細はデータベースのアクセス権限

(p. 18) を参照し

てください。

SafeGuard Enterprise

データベースの名前には、ローカライズ時に発生

する問題を避けるため、英語アルファベット文字 (A-Z, a-z) 、半角数字 (0-9) 、および

アンダスコア

(_)

のみを使用してください。

■

データベースが既に作成されている場合や、 SafeGuard Management Center を既に

別のコンピュータにインストールしている場合は、「利用可能なデータベースから選

択」を選択して適切なデータベースを一覧から選択します。

「次へ」をクリックします。

5.4.6 MSO (マスターセキュリティ担当者) の作成

セキュリティ担当者は、 SafeGuard Management Center にアクセスして SafeGuard Enterprise

ポリシーを作成したり、エンドユーザーのために暗号化ソフトウェアを設定したりします。

SafeGuard Enterprise

MSO ( マスターセキュリティ担当者 ) は最も強い権限を持つ管理者で、すべての権限と無期

限の証明書が付与されています。

「セキュリティ担当者データ」ページの「マスターセキュリティ担当者

」でマスター

セキュリティ担当者の名前を入力します。

「マスターセキュリティ担当者 (MSO) の証明書」で、以下のいずれかを実行します。

■

新しい

MSO

証明書を作成する場合、「作成」をクリックします。証明書ストアと証

明書がエクスポートされるファイル ( 秘密鍵ファイル P12) それぞれのパスワードを

入力・確認入力するようメッセージが表示されます。証明書が作成され「マスター

セキュリティ担当者

(MSO)

の証明書」の下に表示されます。

■

既にネットワークで利用できる MSO 用の証明書を使用する場合、「インポート」を

クリックします。「認証証明書のインポート」で鍵ファイルのバックアップを参照し

ます。「鍵ファイルのパスワード」で、このファイル用のパスワードを入力します。

「証明書ストアのパスワード」にパスワードを入力し、確認入力します。「

」を

クリックします。証明書がインポートされ「マスターセキュリティ担当者 (MSO) の

証明書」の下に表示されます。

MSO

が

SafeGuard Management Center

にログオンするには、証明書ストアのパスワー

ドが必要です。このパスワードはメモに残し安全な場所に保管してください。パスワー

ドをなくすと

MSO

が

SafeGuard Management Center

にログオンできなくなります。

MSO が破損した SafeGuard Management Center を復元する際は、秘密鍵ファイルのパ

スワードが必要です。

「次へ」をクリックします。

マスターセキュリティ担当者が作成されます。

5.4.6.1 MSO 証明書の作成

「 MSO 証明書の作成」で次の手順を実行します。

「マスターセキュリティ担当者 ID 」でマスターセキュリティ担当者の名前を確認しま

す。

証明書ストアのパスワードを

回入力し、「

」をクリックします。

MSO 証明書が作成されバックアップとしてローカルに保存されます (<MSO 名 >.cer) 。

注

このパスワードはメモに残し安全な場所に保管してください。

SafeGuard Management

Center での認証に必要です。

5.4.6.2 MSO 証明書のエクスポート

MSO

証明書はファイルにエクスポートします。このファイルはいわゆる秘密鍵ファイル

(.p12) でパスワード保護されます。つまり、 MSO 証明書は二重に保護されています。秘密

鍵ファイルは破損した

SafeGuard Management Center

を復元する際に必要です。

MSO 証明書をエクスポートする方法は次のとおりです。

「証明書をエクスポートする」で、秘密鍵 (.p12) のパスワードを入力・確認入力しま

す。パスワードは半角英数字

文字です。

「

」をクリックします。

インストールガイド

秘密鍵ファイルの保存場所を入力します。

秘密鍵が作成されファイルが指定した場所に保存されます

(<MSO

名

>.p12)

。

注 : 初期構成が完了したら、すぐに秘密鍵 (p12 ファイル ) のバックアップを作成し安全な

場所に保存します。コンピュータの障害などで鍵が消失した場合は、 SafeGuard Enterprise

を再インストールする必要があります。これは、

SafeGuard

で生成するすべてのセキュリ

ティ担当者の証明書に該当します。詳細は「 SafeGuard Enterprise 管理者ヘルプ」の「企

業証明書とマスターセキュリティ担当者

(MSO)

証明書をエクスポートする」という章を参

照してください。

5.4.6.3 MSO 証明書のインポート

MSO

証明書がすでに存在する場合、証明書ストアにインポートする必要があります。

注 : 証明書は Microsoft PKI からインポートすることはできません。インポートされた証明

書の長さは、最小で 1024 ビット、最大で 4096 ビットでなければなりません。

「認証鍵ファイルのインポート」で「

...

」をクリックし鍵ファイルを選択します。

鍵ファイルのパスワードを入力します。

証明書ストアのパスワードを入力します。

証明書ストアのパスワードを確認入力します。

「

」をクリックします。

これで証明書および秘密鍵が証明書ストアに保存されます。 SafeGuard Management Center

へのログオンには証明書ストアへのパスワードが必要になります。

5.4.7 企業証明書の作成

企業証明書は異なる環境にインストールされている SafeGuard Management Center を区別

するために使用されます。

MSO

証明書と併せて使用すると、破損した

SafeGuard Enterprise

データベースの構成を復元できます。

「企業証明書」ページで「企業証明書を新規作成する」を選択します。

任意の名前を入力します。

注

: SafeGuard Enterprise

によって生成される、企業証明書、マシン証明書、セキュリ

ティ担当者証明書、ユーザー証明書などの証明書は、初回のインストールにおけるセキュ

リティを強化するために、「

SHA-256

ハッシュアルゴリズムで署名されています。

SafeGuard Enterprise 6.0 以前のエンドポイントを SafeGuard Management Center 7.0

で管理する必要がある場合は、「証明書生成用ハッシュアルゴリズム」で「 SHA-1 」を

選択する必要があります。詳細は、

SafeGuard Enterprise

管理者ヘルプの「自己署名証

明書のアルゴリズムを変更する」を参照してください。

選択したアルゴリズムは、

SafeGuard Enterprise

によって生成される証明書すべての署

名に使用されます。証明書の種類には、企業証明書、マシン証明書、セキュリティ担当

者証明書、およびユーザー証明書があります。

「次へ」をクリックします。

新しく作成した企業証明書がデータベースに格納されます。

SafeGuard Enterprise

初期構成が完了したら、すぐに企業証明書のバックアップを作成し安全な場所に保存しま

す。

破損したデータベース構成を復元する方法は、

破損したデータベース構成の復元

(p. 36)

を

参照してください。

5.4.8 SafeGuard Management Center の初期構成

「完了」をクリックし、

SafeGuard Management Center

の初期構成を完了します。

構成ファイルが作成されます。

次の変更内容が作成されています。

■

SafeGuard Enterprise Server

への接続。

■

SafeGuard Enterprise データベース。

■

SafeGuard Management Center

にログオンするためのマスターセキュリティ担当者の

アカウント。

■

破損したデータベース構成や SafeGuard Management Center インストールを復元する

ために必要な証明書すべて。

構成ウィザードが終了すると、 SafeGuard Management Center が起動します。

5.5 追加のデータベース構成の作成 (Multi Tenancy 用)

前提条件

:Multi Tenancy

機能は、インストールするときに「完全」という種類のインストー

ルを選択するとインストールされます。 SafeGuard Management の初期設定を行う必要が

あります。詳細は

SafeGuard Management Center

の初期構成の開始

(p. 28)

を参照してく

ださい。

注 : 各データベースごとに異なる SafeGuard Enterprise Server インスタンスを設定する必

要があります。

初期構成後、追加の SafeGuard Enterprise データベース構成を作成する方法は次のとおり

です。

1. SafeGuard Management Center を開始します。「構成の選択」ダイアログが表示されま

す。

「新規作成」をクリックします。 SafeGuard Management Center 構成ウィザードが自動

的に開始します。

このウィザードでは、新しいデータベース構成を作成するために必要な手順を順を追っ

て実行します。必要に応じて設定を行います。新しいデータベース構成が生成されます。

4. SafeGuard Management Center

で認証を行うために、この構成のセキュリティ担当者の

名前を選択し、セキュリティ担当者の証明書ストアのパスワードを入力するように求め

られます。「

」をクリックします。

SafeGuard Management Center が起動し、新しいデータベース構成に接続します。次に

SafeGuard Management Center を起動したときに一覧から新しいデータベース構成を選択

できます。

インストールガイド

注 : Multi Tenancy の詳細設定については、「 SafeGuard Enterprise 管理者ヘルプ」の「複

数のデータベース構成での作業」という章を参照してください。

5.6 SafeGuard Management Center の追加インスタンス

の構成

SafeGuard Management Center の追加インスタンスを構成し、セキュリティ担当者が各コ

ンピュータで管理タスクを実行できるようにします。

SafeGuard Management Center

は、

データベースにアクセス可能なネットワーク上のコンピュータにインストールできます。

SafeGuard Enterprise

では、専用の証明書ディレクトリ内で

SafeGuard Management Center

に対するアクセス権限が管理されます。このディレクトリには、 SafeGuard Management

Center へのログオンが許可されている各セキュリティ担当者の証明書がすべて含まれてい

る必要があります。このため、

SafeGuard Management Center

へのログオンに必要なのは

証明書ストアのパスワードだけです。

必要な機能を備える他のコンピュータに

SGNManagementCenter.msi

をインストールし

ます。

2. SafeGuard Management Center

を新規インストールしたコンピュータで

SafeGuard

Management Center を起動します。構成ウィザードが起動します。画面の指示に従って

必要な手順を実行してください。

「ようこそ」ページで、「次へ」をクリックします。

「データベースサーバーの接続」ページの「データベースサーバー」で一覧から適切な

SQL データベースのインスタンスを選択します。コンピュータまたはネットワーク上で

利用可能なすべてのデータベースサーバーが表示されます。「認証」で、このデータ

ベースサーバーのインスタンスにアクセスする際の認証タイプを有効にします。「次の

ログオン情報で SQL Server 認証を使用する」を選択した場合は、社内の SQL 管理者が

作成した

SQL

のユーザーアカウント情報を入力します。「次へ」をクリックします。

「データベースの設定」ページで「使用可能なデータベースから選択」をクリックし、

一覧から関連するデータベースを選択します。「次へ」をクリックします。

「

SafeGuard Management Center

認証」で一覧から認証されているユーザーを選択し

ます。 Multi Tenancy が有効の場合、ユーザーログオンしようとしている構成がダイアロ

グに表示されます。証明書ストアのパスワードを入力・確認入力します。

現在のユーザーアカウントに対して証明書ストアが作成され、このパスワードで保護さ

れます。今後のログオンにはこのパスワードだけが必要になります。

「 OK 」をクリックします。

証明書および秘密鍵が見つからなかったか、またはアクセスできなかったことを示すメッ

セージが表示されます。

データをインポートするには「はい」をクリックします。そして、「 OK 」をクリックし

ます。インポート処理が開始します。

「認証鍵ファイルのインポート」で「 ...

」をクリックし鍵ファイルを選択します。「鍵

ファイルのパスワード」を入力します。「証明書ストアパスワードまたはトークン

PIN

」

で定義してある証明書ストアのパスワードを入力します。「証明書ストアにインポート」

を選択します。または「トークンへコピー」を選択し、証明書をトークンに保存します。

10.

パスワードをもう一度入力して証明書ストアを初期化します。

SafeGuard Enterprise

これで証明書および秘密鍵が証明書ストアに保存されます。 SafeGuard Management Center

へのログオンには証明書ストアへのパスワードが必要です。

5.7 SafeGuard Management Center へのログオン

SafeGuard Management Center にログオンする手順は、 Single Tenancy モードで実行して

いるか、 Multi Tenancy モードで実行しているかによって異なります。

SafeGuard Management Center

で最初に行う手順については、「

SafeGuard Enterprise

管

理者ヘルプ」を参照してください。

5.7.1 Single Tenancy モードでのログオン

「開始」メニューを使用して

SafeGuard Management Center

を開始します。ログオン

ダイアログが表示されます。

2. MSO (

マスターセキュリティ担当者

)

としてログオンして、初期構成時に指定された証

明書ストアのパスワードを入力します。「 OK 」をクリックします。

SafeGuard Management Center

が起動します。

注 : 間違ったパスワードを入力した場合、エラーメッセージが表示され、次回のログオン

に遅延が発生します。ログオンに失敗するたびに、遅延時間は長くなります。ログオンの失

敗はログに記録されます。

5.7.2 Multi Tenancy モードでのログオン

複数のデータベースを設定している場合 (Multi Tenancy) 、 SafeGuard Management Center

にログオンする際の手順が多くなります。

「開始」メニューの製品フォルダから SafeGuard Management Center を開始します。

「構成の選択」ダイアログが表示されます。

使用するデータベース設定を選択し、「 OK 」をクリックします。選択したデータベース

構成が

SafeGuard Management Center

に接続され、有効になります。

この構成のセキュリティ担当者の名前を選択し、セキュリティ担当者の証明書ストアの

パスワードを入力するようにメッセージが表示されます。「 OK 」をクリックします。

SafeGuard Management Center が起動し、選択したデータベース構成に接続します。

注

間違ったパスワードを入力した場合、エラーメッセージが表示され、次回のログオン

に遅延が発生します。ログオンに失敗するたびに、遅延時間は長くなります。ログオンの失

敗はログに記録されます。

5.8 SafeGuard Management Center における組織構成の

設定

SafeGuard Enterprise

でユーザーの組織情報を

SafeGuard Enterprise

にマッピングするに

は、次の 2 種類の方法があります。

■

Active Directory から新しいドメインをインポートする

インストールガイド

Active Directory との同期を実行すると、コンピュータ、ユーザー、およびグループなど

のオブジェクトが SafeGuard Management Center にインポートされ、 SafeGuard

Enterprise

データベースに保存されます。

■

組織構造を手動で作成する

ディレクトリサービスが利用できなかったり、組織単位が少なくディレクトリサービス

が不要な場合は、ユーザー / コンピュータがログオンできる新しいドメイン / ワークグルー

プを作成できます。

上記の

つのオプションのうちどちらか一方、または両方を合わせて実行できます。たとえ

ば、 Active Directory (AD) を部分的または全体的にインポートして、手動で他の組織単位

(OU)

を作成できます。組織構造はインポートした場合でも手動で作成した場合でも、ポリ

シーの適用は行われます。

注 : なお、２つの方法を組み合わせて実行した場合、手動で作成した組織単位は AD にマッ

ピングされません。

SafeGuard Enterprise

で作成した組織単位を

にマッピングする場合

は、個別に AD に追加する必要があります。

組織構造のインポートや作成について詳細は、「

SafeGuard Enterprise

管理者ヘルプ」の

「組織構造の作成」を参照してください。

5.9 ライセンスファイルのインポート

SafeGuard Enterprise

にはライセンスカウンター機能が搭載されています。製品をインス

トールすると、利用可能な SafeGuard Enterprise の各コンポーネントに、デフォルトで一

定数のライセンス (5 つのライセンス ) が設定されます。このため、 SafeGuard Enterprise の

他のコンポーネントに影響を与えることなく、簡単に評価を行えます。

SafeGuard Enterprise

を購入すると、顧客個別のライセンスファイルが送られます。このライセンスファイルは、

社内の

SafeGuard Management Center

にインポートする必要があります。

詳細については、「 SafeGuard Enterprise 管理者ヘルプ」の「ライセンス」という章を参

照してください。

5.10 破損した SafeGuard Management Center の復元

インストールされている SafeGuard Management Center が破損した場合で、データベース

には問題がないときは、マスターセキュリティ担当者の証明書のバックアップと既存のデー

タベースを使って、

SafeGuard Management Center

をインストールし直すとソフトウェア

を簡単に復元できます。

■

関連するデータベース構成のマスターセキュリティ担当者の証明書を .p12 ファイルに

エクスポートして、有効かつ利用できる状態にしておく必要があります。

■

.p12 ファイルのパスワードと証明書ストアのパスワードが必要です。

破損した

SafeGuard Management Center

の復元方法は次のとおりです。

1. SafeGuard Management Center インストールパッケージをインストールしなおします。

SafeGuard Management Center を開きます。構成ウィザードが自動的に起動します。

SafeGuard Enterprise

「データベース接続」ページで関連するデータベースサーバーを選択し、必要に応じて

データベースへの接続を設定します。「次へ」をクリックします。

「データベースの設定」ページで「使用可能なデータベースから選択」をクリックし、

一覧から該当するデータベースを選択します。

「セキュリティ担当者のデータ」ページで、以下のいずれかを実行します。

■

証明書ファイルのバックアップがコンピュータにある場合は、そのファイルが表示さ

れます。 SafeGuard Management Center で認証に使用するパスワードを入力します。

■

バックアップした証明書ファイルがコンピュータ上に見つからない場合は、「イン

ポート」を選択します。バックアップした証明書ファイルを参照し、「開く」をク

リックします。選択した証明書ファイルのパスワードを入力します。「はい」をク

リックします。 SafeGuard Management Center で認証に使用するパスワードを入力・

確認入力します。

「次へ」をクリックします。そして、「完了」をクリックし、

SafeGuard Management

Center の設定を完了します。

破損した SafeGuard Management Center が復元されます。

5.11 破損したデータベース設定の復元

破損したデータベースの設定は、 SafeGuard Management Center をインストールしなおし

てバックアップした証明書ファイルから新しいデータベースインスタンスを作成すると修

復されます。修復後、既存の

SafeGuard Enterprise

エンドポイントは、これまでどおり新

しくインストールしたデータベースからポリシーを取得します。

■

関連するデータベース設定の企業およびマスターセキュリティ担当者の証明書を

.p12

ファイルにエクスポートし、有効で利用できる状態になっている必要があります。

SafeGuard Management Center で鍵をバックアップします。

■ 2

つの

.p12

ファイルのパスワードと証明書ストアのパスワードが必要です。

注 : この方法によるデータベースの復元は、有効なデータベースのバックアップがない場合

のみに推奨します。この方法で復元されたバックエンドに接続されているすべてのコンピュー

タで、ログオン可能なユーザーの情報

(UMA)

が失われ、その結果、

POA (Power-on

Authentication) が一時的に無効になります。チャレンジ / レスポンス機能は、当該のエンド

ポイントから鍵情報が送信されるまで使用することはできません。

破損したデータベースの修復方法は次のとおりです。

1. SafeGuard Management Center インストールパッケージをインストールしなおします。

SafeGuard Management Center

を開きます。構成ウィザードが自動的に起動します。

「データベース接続」ページで、「新しいデータベースを作成する」を選択します。

「データベース設定」でデータベースの接続を設定します。「次へ」をクリックします。

「セキュリティ担当者のデータ」ページで関連する MSO を選択し、「インポート」を

クリックします。

「認証証明書のインポート」で鍵ファイルのバックアップを参照します。「鍵ファイル

のパスワード」でこのファイル用のパスワードを入力・確認入力します。「証明書スト

アに鍵ファイルを保存する」を選択して、ストア用のパスワードを入力します。「 OK 」

をクリックします。

インストールガイド

5. MSO 証明書がインポートされます。「次へ」をクリックします。

「企業証明書」ページで「既存の企業証明書を使用して復元する」を選択します。「イ

ンポート」をクリックし、有効な企業証明書が含まれるバックアップ済み証明書ファイ

ルを参照します。証明書ストアに指定されたパスワードを入力するように求められます。

パスワードを入力し、「 OK 」をクリックします。メッセージが表示されたら、「はい」

をクリックして確定します。企業証明書がインポートされます。

「次へ」をクリックし、さらに「完了」をクリックします。

データベース設定が復元されます。

SafeGuard Enterprise

6 通信のテスト

SafeGuard Enterprise Server 、データベース、 SafeGuard Management Center を設定した

ら、接続テストを実行してください。ここではその手順について説明します。

6.1 前提条件

接続テストの前に次の設定を確認し、必要に応じて設定を行ってください。

6.1.1 ポート/接続

エンドポイントで必要な接続は次のとおりです。

SafeGuard エンドポイン

トの接続

ポート

SafeGuard Enterprise

Server

ポート 80/TCP

ポート 443: SSL で通信内容を暗号化する場合

SafeGuard Management Center

に必要な接続は次のとおりです。

SafeGuard Management

Center との接続

ポート

SQL

データベース

SQL Server 2012 動的ポート : ポート 1433/TCP およびポート 1434/TCP

Active Directory

SLDAP

ポート 389/TCP

ポート

636 (Active Directory

インポートの場合

)

SafeGuard Enterprise Server

に必要な接続は次のとおりです。

SafeGuard Enterprise

Server との接続

SQL データベース

ポート

ポート 1433/TCP 、ポート 1434/TCP (SQL 2012 (Express) 動的ポートの

場合 )

インストールガイド

SafeGuard Enterprise

Server との接続

Active Directory

ポート

ポート 389/TCP

6.1.2 認証方法

1. SafeGuard Enterprise Server

がインストールされているコンピュータで、「インター

ネットインフォメーションサービス (IIS) マネージャ」を開きます。

ツリー構造の「インターネットインフォメーションサービス 」をクリックします。「 <

サーバー名 > 」、「 Web サイト」、「既定の Web サイト」の順にクリックします。

「 SGNSRV 」を右クリックして「プロパティ」をクリックします。

「ディレクトリセキュリティ」タブを選択します。

「認証とアクセス制御」で「編集」をクリックします。「認証方法」で「匿名アクセス

を有効にする」を選択します。「認証済みアクセス」で「統合

Windows

認証」の選択

を外します。

6.1.3 Web サーバーとエンドポイントのプロキシサーバーの設定

次のようにプロキシサーバーを設定します。

1. Internet Explorer の「ツール」メニューで、「インターネットオプション」をクリック

します。「接続」、「 LAN の設定」の順にクリックします。

「 LAN の設定」の「プロキシサーバー」で、「 LAN にプロキシサーバーを使用する」

の選択を外します。

プロキシサーバーが必要な場合は、「ローカルアドレスにはプロキシサーバーを使用

しない」を有効にします。

6.2 接続テスト (Windows Server 2008 上の IIS 7)

1. SafeGuard Enterprise Server がインストールされているコンピュータで、「インター

ネットインフォメーションサービス (IIS) マネージャ」を開きます。

ツリー構造で、「 < サーバー名 > 」、「 サイト」、「既定の Web サイト」の順にクリッ

クします。「

Default Web Site

」フォルダの「

SGNSRV

」という

Web

ページが利用で

きることを確認します。

「 SGNSRV 」を右クリックし、「アプリケーションの管理」を選択します。「参照」を

クリックして、「 SGNSRV ホーム」ページ「 Sophos SafeGuard Web サービス」を開

きます。

「

Sophos SafeGuard Web

サービス」ページで、実行可能なアクションのリストが表

示されます。リストで「 CheckConnection 」をクリックします。

「 CheckConnection 」の下の「起動」をクリックします。

次の結果が出力されれば接続テストは成功です。

SafeGuard Enterprise

インストールガイド

7 SSL による転送接続の保護

SafeGuard Enterprise は、セキュリティを強化するために、コンポーネント間の通信内容の

SSL

暗号化に対応しています。

■

データベースサーバーと Web サーバー間の接続、およびデータベースサーバーと

SafeGuard Management Center

が配置されているコンピュータ間の接続を、

SSL

で暗

号化できます。

■

SafeGuard Enterprise Server と SafeGuard Enterprise で管理しているコンピュータとの

接続は、

SSL

または

SafeGuard

固有の暗号化によって保護できます。

SSL

の利点は、

標準プロトコルであること、またそのために SafeGuard 転送暗号化と比較して、より高

速な接続を実現できることです。

Mac:SafeGuard Enterprise Server と Mac エンドポイント間の通信内容を安全に保つた

めには、 SSL を使用する必要があります。

注

テスト環境やデモ環境を除き、サーバーとクライアント間の通信内容は

SSL

で暗号

化することを強く推奨します。何らかの理由で SSL を使えない場合で、 SafeGuard 固有

の暗号化を使用するときは、

つのサーバーインスタンスに接続できるクライアント数の

上限は 1000 台です。

必ず SSL 環境を設定・稼働させてから、 SafeGuard Enterprise で SSL をアクティブ化して

ください。

7.1 SSL の設定

SSL 通信対応の Web サーバーを設定するには、次の一般的なタスクが実行されている必要

があります。

■

SSL 暗号化で使う証明書を発行するための証明機関がインストールされている。

■

証明書が発行されており、また、

SSL

を実装し、発行した証明書を参照するように

IIS

サーバーが構成されている。

■

SafeGuard Enterprise Server を構成するときに指定するサーバー名が、 SSL 証明書に指

定されているサーバー名と同じである。そうでない場合は、クライアントとサーバーは

通信できません。 SafeGuard Enterprise Server ごとに異なる証明書が必要です。

■ Network Load Balancer

を使用する場合は、

SSL

ポートがポート範囲に含まれているこ

とを確認する。

さらに詳しくはテクニカルサポートにお問い合わせください。または以下を参照してくださ

い。

■ http://msdn2.microsoft.com/ja-jp/library/ms998300.aspx

■ http://support.microsoft.com/default.aspx?scid=kb;ja-jp;316898

■ https://blogs.msdn.com/sql_protocols/archive/2005/11/10/491563.aspx ( 英語 )

SafeGuard Enterprise

7.2 SafeGuard Enterprise での SSL 暗号化の有効化

SafeGuard Enterprise

で

SSL

を有効にするには次の手順を実行してください。

■

Web サーバーとデータベースサーバーとの接続

SafeGuard Management Center の構成パッケージツールで SafeGuard Enterprise Server

を登録するときに、

SSL

暗号化を有効にします。詳細は

データベースサーバーの接続の

設定

(p. 28) を参照してください。または、 http://www.sophos.com/ja-jp/support/knowledgebase/109012.aspx

を参照してください。 http://www.sophos.com/ja-jp/support/knowledgebase/109012.aspx

■

データベースサーバーと SafeGuard Management Center との接続

SafeGuard Management Center 構成ウィザードで SSL 暗号化を有効にします。詳細は

データベースサーバーの接続の設定

(p. 28)

を参照してください。

■

SafeGuard Enterprise Server と SafeGuard Enterprise で保護されたエンドポイントとの

接続

SafeGuard Management Center の構成パッケージツールで SafeGuard Enterprise の管

理型エンドポイント用構成パッケージを作成する際、 SSL 暗号化を有効にします。詳細

は、

管理対象エンドポイント用の構成パッケージの作成

(p. 54)

を参照してください。

SafeGuard Enterprise Server と SafeGuard Enterprise で保護されたエンドポイントとの

接続を

SSL

で保護するための設定方法の詳細は、

SSL

によるサーバー、エンドポイント

間の通信内容の保護

(p. 42) を参照してください。

SafeGuard Enterprise における SSL 暗号化は、 SafeGuard Enterprise コンポーネントの初

期構成で設定できますが、後で設定することもできます。新しい構成パッケージを後で作成

し、各サーバーや管理型エンドポイントにインストールします。

7.3 SSL によるサーバー、エンドポイント間の通信内

容の保護

7.3.1 前提条件

SSL で SafeGuard Enterprise Server と SafeGuard Enterprise で保護されているエンドポイ

ント間の通信内容を保護するには、有効な証明書が必要です。使用できる証明書の種類は次

のとおりです。

■

自己署名証明書。詳細は

自己署名証明書の使用 (p. 43)

を参照してください。

プライベートまたはパブリックのルート証明書で

PKI

によって発行された証明書。詳細

は

PKI で生成した証明書の使用

(p. 44) を参照してください。

パブリックルート証明書、プライベートルート証明書のどちらを使用してもかまいませ

ん。

インストールガイド

注 : パブリック PKI で作成された証明書があっても、 PKI を利用できない環境の場合、この

証明書を使用して SSL による通信内容の暗号化を行うことはできません。この場合、 PKI

を設定するか、自己署名証明書を作成する必要があります。

7.3.2 SafeGuard Enterprise Server の設定

SafeGuard Enterprise Server と SafeGuard Enterprise で保護されるエンドポイントの間の

通信内容を

SSL

で安全化するには、次の全般的なタスクを実行して

SafeGuard Enterprise

Server の設定を行います。

1. SafeGuard Management Center をインストールします。詳細は

SafeGuard Management

Center

のインストール

(p. 26)

を参照してください。

2. SafeGuard Enterprise Server

をインストールします。詳細は

SafeGuard Enterprise Server

のインストール (p. 16)

を参照してください。

「起動」テストで SafeGuard Enterprise Server と SQL データベース間の接続をチェッ

クします。

これらの設定が問題なく完了したら、

SSL

通信に使用する証明書をインポートします。自

己署名証明書か既存の証明書を使用できます。 PKI を利用できる環境の場合は、 PKI で生成

した証明書を使用することもできます。

7.3.3 自己署名証明書の使用

SafeGuard Enterprise で自己署名証明書を作成する方法は次のとおりです。

1. SafeGuard Enterprise Server をホストするマシンでインターネットインフォメーション

サービス

(IIS)

マネージャを開きます。

一番上のノードに表示されるサーバー名を確認します。

3. SafeGuard Management Center がインストールされているマシンで、「プログラム」、

「 Sophos 」、「 SafeGuard 」、「 SafeGuard Certificate Manager 」の順に選択しま

す。

「

SafeGuard Certificate Manager

」が表示されます。

パスワードを入力し、

SafeGuard

証明書ストアを開きます。

「新しい証明書の作成」ボタンをクリックします。

「新しい証明書の作成」ダイアログが表示されます。

新しい証明書を作成する方法は次のとおりです。 a) IIS マネージャ ( インターネットインフォメーションサービスマネージャ ) の一番上

のノードで確認したマシンに対応する証明書名を入力します。 b) 鍵長はデフォルトの値のままにします。 c)

パスワードを入力します。 d) 「 OK 」をクリックします。

7. .cert ファイルと .p12 ファイルを IIS をホストするマシンからアクセス可能な場所に保存

します。

SafeGuard Enterprise

7.3.4 PKIで生成した証明書の使用

PKI で生成した証明書を SSL 通信に使用する場合、 SafeGuard Enterprise Server を実行し

ているマシンに対して証明書を作成します。次の条件を満たす必要があります。

■

証明書名が IIS マネージャ ( インターネットインフォメーションサービスマネージャ )

の一番上のノードに表示されるマシンに対応していること。

■

証明書は FQDN を使用するコンピュータ名を持つマシンに対して発行すること。

注 : パブリック PKI で作成された証明書があっても、 PKI を利用できない場合、この証明書

を使用して

SSL

による通信内容の暗号化を行うことはできません。この場合、

PKI

を設定

するか、自己署名証明書を作成する必要があります。

7.3.5 証明書を許可するための SGNSRV Web ページの設定

前提条件

:SSL

を使用するための有効な証明書があること。

注 : 次の説明は Microsoft Windows Server 2012 が対象です。

「インターネットインフォメーションサービス (IIS) マネージャ」を開きます。

ナビゲーションペインで、 SGNSRV Web ページをホストするサーバーを選択します。

右側のペインで、「 IIS 」セクションから「サーバー証明書」を選択します。

「サーバー証明書」ページの「操作」ペインで「インポート」をクリックします。

5. SSL 通信に使用する証明書を選択します。パスワードを入力し、「 OK 」をクリックし

ます。

ナビゲーションペインで、「

Default Web Site

」、「バインドの編集」の順にクリック

します。

「サイトバインド」ダイアログで「追加」をクリックします。

「種類 : 」で「 https 」を選択し、「 SSL 証明書 : 」で SSL 通信に使用する証明書を選択

します。

「 OK 」をクリックして「サイトバインド」ダイアログボックスを閉じます。

10.

ナビゲーションペインでサーバーを選択し、「操作」ペインで「再起動」をクリックし

ます。

7.3.6 エンドポイントで SSL を使用するための設定

SafeGuard Enterprise で保護されるエンドポイントで SSL を使用するには、次の手順を実

行してください。

クライアントに証明書を割り当てます。

2. SSL

を含むクライアント構成パッケージを作成します。詳細は

管理型エンドポイント用

の構成パッケージの作成 (p. 54)

を参照してください。

インストールガイド

7.3.6.1 証明書の割り当て

エンドポイントに証明書を割り当てる方法は複数あります。 1 つは Windows のグループポ

リシーを使用する方法です。詳細はこのセクションで説明します。他の方法を用いる場合

は、証明書がローカルマシンの証明書ストアに保存されていることを確認してください。

グループポリシーを使用して証明書を割り当てる方法は次のとおりです。

「グループポリシー管理コンソール」を開きます。

既存の

GPO (

グループポリシーオブジェクト

)

を利用するか、または新しい

GPO

を作

成して証明書の設定を保存します。ポリシーで管理するユーザーが属するドメイン、サ

イト、または OU (Organization Unit) に GPO が割り当てられていることを確認します。

3. GPO を右クリックして「編集」を選択します。

「グループポリシー管理エディター」が開き、現在のポリシーオブジェクトの設定が表

示されます。

ナビゲーションペインで、「コンピュータの構成

> Windows

の設定

セキュリティの

設定 > 公開キーのポリシー > 信頼できる発行元」を展開します。

「操作」メニューをクリックし、「インポート」をクリックします。

「証明書のインポートウィザード」の指示に従い、証明書を探してインポートします。

証明書が自己署名証明書であるため、「信頼されたルート証明機関」証明書ストア内の

証明書に遡れない場合は、この証明書ストアにも証明書をインストールします。ナビゲー

ションペインで、「信頼されたルート証明機関」をクリックし、ステップ

とステップ

6 の手順を繰り返して対象の証明書ストアに証明書をインストールします。

SafeGuard Enterprise

8 SafeGuard Enterprise Server の登録と

設定

SafeGuard Enterprise Server

は、

IIS

サーバー、データベース、および

SafeGuard

で保護

されるエンドポイント間で情報を中継するように登録・構成する必要があります。必要な情

報はサーバー構成パッケージに含まれています。

このタスクは

SafeGuard Management Center

で実行します。処理の流れは、

SafeGuard

Enterprise Server が SafeGuard Management Center と同じコンピュータにインストールさ

れているか、別のコンピュータにインストールされているかにより異なります。

特定のサーバーへセキュリティ担当者を追加するなど詳細設定を行うか、またはデータベー

スの接続を構成します。

8.1 SafeGuard Enterprise Server の登録と構成 (同じコ

ンピュータで使用する場合 )

SafeGuard Management Center と SafeGuard Enterprise Server が同じコンピュータにイン

ストールされている場合、

SafeGuard Enterprise Server

の登録と構成を行います。

注 : Multi Tenancy がインストールされていないと、この方法は利用できません。

1. SafeGuard Management Center を開始します。

「ツール」メニューの「構成パッケージツール」をクリックします。

「サーバー」タブを選択し、「このコンピュータを

SGN

サーバーに指定」を選択しま

す。

SafeGuard Enterprise Server の構成セットアップが自動的に開始します。

これ以降のダイアログではデフォルト設定をそのまま使用します。

SafeGuard Enterprise Server

が登録されます。

サーバー名

>.msi

というサーバー構成パッ

ケージが作成され、お使いのコンピュータに直接インストールされます。サーバーの情報が

「サーバー」タブに表示されます。追加の初期構成を実行します。

注 : 新しいサーバー構成パッケージ (MSI) を SafeGuard Enterpise Server にインストールす

る場合は、必ず古い構成パッケージを先にアンインストールしてください。また、ローカル

キャッシュを手動で削除して、 SSL 設定などの、新しい構成データで正常にアップデート

できるようにしてください。次に、この構成パッケージをサーバーにインストールします。

インストールガイド

8.2 SafeGuard Enterprise Server の登録・構成 (別のコ

ンピュータで使用する場合 )

SafeGuard Enterprise Server を SafeGuard Management Center とは別のコンピュータにイ

ンストールした場合は、 SafeGuard Enterprise Server を登録・構成してください。

1. SafeGuard Management Center

を開始します。

「ツール」メニューの「構成パッケージツール」をクリックします。

「サーバー」タブを選択し、「追加

...

」をクリックします。

「サーバーの登録」で「

...

」をクリックし、サーバーのマシン証明書を選択します。こ

の証明書は SafeGuard Enterprise Server のインストール時に生成されます。デフォルト

では

SafeGuard Enterprise Server

インストールディレクトリの

MachCert

ディレクト

リ内にあります。ファイル名は

コンピュータ名

>.cer

です。 SafeGuard Enterprise

Server が SafeGuard Management Center とは異なるコンピュータにインストールされ

ている場合は、この .cer ファイルにアクセスできる必要があります ( ローカルへのファ

イルコピーまたはネットワーク経由のどちらかで

)

。

MSO 証明書を選択しないでください。

FQDN (

完全修飾ドメイン名、例

: server.mycompany.com

)

と証明書情報が表示されま

す。

注

: SSL

をエンドポイントとサーバー間の転送暗号化として使用する場合は、ここで指

定されたサーバー名は SSL 証明書で指定されたサーバー名と同一である必要がありま

す。同一でない場合、エンドポイントとサーバーは通信できません。

「 OK 」をクリックします。

サーバーの情報が「サーバー」タブに表示されます。

「サーバー用パッケージ」タブを選択します。使用可能なサーバーが表示されます。必

要なサーバーを選択します。サーバー構成パッケージの出力先を指定します。「構成パッ

ケージの作成」をクリックします。

指定したディレクトリに < サーバー名 >.msi というサーバー構成パッケージ (MSI) が作成

されます。

「 OK 」をクリックして成功のメッセージを確認します。

「サーバー」タブで「閉じる」をクリックします。

これで

SafeGuard Enterprise Server

の登録と構成は完了です。サーバー構成パッケージを

SafeGuard Enterprise Server を実行しているコンピュータに展開します。サーバーの構成

は「サーバー」タブで随時変更できます。

注 : 新しいサーバー構成パッケージ (MSI) を SafeGuard Enterpise Server にインストールす

る場合は、必ず古い構成パッケージを先にアンインストールしてください。また、ローカル

キャッシュを手動で削除して、

SSL

設定などの、新しい構成データで正常にアップデート

できるようにしてください。次に、この構成パッケージをサーバーにインストールします。

SafeGuard Enterprise

8.3 SafeGuard Enterprise Server のプロパティの編集

登録したサーバーとそのデータベース接続のプロパティや設定は、随時編集できます。

「ツール」メニューの「構成パッケージツール」をクリックします。

「サーバー」タブを選択し、対象のサーバーを選択します。

次のいずれかを実行します。

オプション

スクリプトの使用を許可

説明

クリックして SafeGuard Enterprise Management API を使用でき

るようにします。管理タスクのスクリプト化が許可されます。

Windows 認証 WHD

クリックして Web Helpdesk の Windows 認証を有効にします。こ

のオプションはデフォルトで無効になっています。

サーバーロール

サーバーロールの追加 ...

データベース接続

クリックして選択したサーバーに対して利用可能なセキュリティ

担当者を選択したり、選択を外したりします。

必要に応じクリックして選択したサーバーに対して詳細なセキュ

リティ担当者ロールを追加します。サーバー証明書を選択するよ

うメッセージが表示されます。セキュリティ担当者ロールが追加

され「 サーバーロール」の下に表示できます。

「 ...

」をクリックして、データベースのログオン情報、 Web サー

バーとデータベースサーバーと間の通信内容の暗号化など、登録

されている Web サーバーに対して特定のデータベース接続を設定

します。詳細はデータベースサーバーの接続の設定

(p. 28) を参照

してください。データベースの接続に失敗する場合は、新しいサー

バー構成パッケージを作成できます。

注 :

データベースの設定を更新するために SafeGuard Management

Center 構成ウィザードを再度実行する必要はありません。ただ

し、後で必ず新しいサーバーパッケージを作成して、対応する

サーバーに配布してください。更新したサーバーパッケージが

サーバーにインストールされると、新しいデータベース接続を使

用できます。

「サーバー用パッケージ」タブで新しいサーバー構成パッケージを作成します。

古いサーバー構成パッケージをアンインストールした後、対応するサーバーに新しいパッ

ケージをインストールします。

新しいサーバー構成が有効になります。

インストールガイド

8.4 SafeGuard Enterprise Server の登録 (ソフォスのファ

イアウォールが有効になっている場合 )

ソフォスのファイアウォールが、デフォルト設定でエンドポイントにインストールされてい

る場合、 SafeGuard Enterprise で保護されるエンドポイントは、 SafeGuard Enterprise Server

に接続できません。デフォルトで、ソフォスのファイアウォールは

NetBIOS

接続をブロッ

クしますが、この接続は、 SafeGuard Enterprise Server のネットワーク名を解決するため

に必要です。

回避策として、次のいずれか 1 つを実行してください。

■

ファイアウォールで NetBIOS 接続を許可する。

■

SafeGuard Enterprise Server の完全修飾パスを、サーバーの構成パッケージに含め

る。詳細は、

SafeGuard Enterprise Server

(p. 47) を参照してください。

SafeGuard Enterprise

9 エンドポイント上の SafeGuard

Enterprise の設定

SafeGuard Enterprise

の暗号化ソフトは通常のユーザー環境にシームレスに統合できるた

め、直感的な操作で簡単に使えます。導入プランに応じて、エンドポイントに異なる

SafeGuard Enterprise のモジュールをインストールしたり、要件に応じて構成内容を設定す

ることができます。

セキュリティ担当者は、ソフトウェアをエンドポイントコンピュータに一台ずつインストー

ル・設定したり、集中的に一括インストール・設定できます。一括インストールをすると、

各エンドポイント上のインストール内容を標準化できます。

9.1 管理型エンドポイントと非管理型エンドポイントに

ついて

エンドポイントは次のように設定できます。

■

管理型

- SafeGuard Enterprise Client (

管理型

)

SafeGuard Management Center からサーバーベースで一元管理されます。

管理型エンドポイントは

SafeGuard Enterprise Server

に接続します。各クライアントは

SafeGuard Enterprise Server からポリシーを受信します。接続は外出時などに一時的に

切断される場合がありますが、その場合でもエンドポイントは SafeGuard Enterprise

Client (

管理型

)

として扱われます。

■

非管理型

- Sophos SafeGuard Client (

スタンドアロン型

)

SafeGuard Management Center で作成された構成パッケージを通じてローカル管理され

ます。

非管理型エンドポイントは、 SafeGuard Enterprise Server にも、 SafeGuard Enterprise

の一元管理機能にも接続されません。これらはスタンドアロンモードで動作します。

SafeGuard Enterprise

ポリシーは構成パッケージから取得します。

SafeGuard Enterprise

Server との接続を通じてポリシーを取得することはありません。

SafeGuard Enterprise

ポリシーは、

SafeGuard Management Center

で作成し、構成パッ

ケージに出力します。出力した構成パッケージは、適切な方法で社内に一括配信するか、

または各エンドポイントに手動でインストールします。

各エンドポイントの種類に応じて異なるインストールパッケージやモジュールを展開しま

す。

9.2 制限事項

エンドポイント上の

SafeGuard Enterprise

には、次のセクションに示す制限事項がありま

すのでご注意ください。

インストールガイド

9.2.1 管理型エンドポイントの制限事項

管理型エンドポイントには次の制限事項がありますので注意してください。

■

初期暗号化の制限事項

管理型エンドポイントの初期暗号化では、構成パッケージの一部として SafeGuard

Enterprise

で保護されるエンドポイントに配信する、暗号化ポリシーを作成する場合が

あります。

ただし、構成パッケージのインストール直後に SafeGuard Enterprise で保護されるエン

ドポイントが

SafeGuard Enterprise Server

に接続されておらず、一時的にオフラインに

なっている場合、次の特定の設定を含む暗号化ポリシーだけが直ちに有効になります。

定義済みのマシン鍵を暗号化鍵として使用する、ボリュームベースのデバイス保護。

ユーザー定義の鍵による暗号化を含む、その他すべてのポリシーを SafeGuard Enterprise

で保護されているエンドポイントで有効にする場合は、対応する構成パッケージが

Enterprise

クライアントの組織単位にも再適用されている必要があります。ユーザー定

義の鍵は、エンドポイントが SafeGuard Enterprise Server に再接続するまで作成されま

せん。

これは、「定義済みのマシン鍵」が、インストール後の初回再起動で SafeGuard Enterprise

で保護されるエンドポイントに直接作成されるのに対して、ユーザー定義の鍵は

SafeGuard Enterprise Server

への登録後にのみエンドポイントで作成できるようになる

ためです。

■ BitLocker

ドライブ暗号化対応の制限事項

SafeGuard Enterprise ボリュームベースの暗号化または BitLocker ドライブ暗号化のい

ずれかを使用できます。どちらも同時に使用することはできません。暗号化の種類を変

更するには、まず、すべての暗号化済みドライブを復号化して

SafeGuard Enterprise

の

暗号化ソフトウェアをアンインストールし、使用する機能を指定したうえでインストー

ルし直す必要があります。両方の機能を同時にインストールしようとしてもインストー

ラでブロックされます。暗号化を開始する構成パッケージをインストールしていない場

合でも、アンインストールと再インストールが必要です。

9.2.2 非管理型エンドポイントの制限事項

File Encryption

は、非管理型エンドポイント

(

集中管理せず、スタンドアロンで利用してい

る Sophos SafeGuard Client) では使用できません。

9.3 暗号化前のエンドポイントの準備作業

SafeGuard Enterprise

をインストールする前に、次の準備を行うことをお勧めします。

■

ユーザーアカウントを設定し、エンドポイントで有効にする必要があります。

■ Windows

の管理者権限があることを確認します。

■

エンドポイント上でデータのフルバックアップを作成してください。

SafeGuard Enterprise

■

暗号化するドライブは、正常にフォーマットされており、ドライブ文字が割り当てられ

ている必要があります。

■ POA

とエンドポイントのハードウェア間で競合する可能性を最小限にするために、ハー

ドウェアの構成ファイルが用意されています。このファイルは Sophos SafeGuard のイ

ンストールパッケージに含まれています。

SafeGuard Enterprise

を大規模に展開する前

に、このファイルの最新版をインストールすることをお勧めします。このファイルは毎

月更新されます。ダウンロード場所については次のサイトを参照してください。 http://www.sophos.com/ja-jp/support/knowledgebase/65700.aspx

該当する情報のみを収集するツールを実行して、ハードウェアの互換性の向上にご協力

いただくことをお願いしています。これは大変使いやすいツールです。収集した情報は、

ハードウェアの構成ファイルに追加されます。詳細は次の文章を確認してください。 http://www.sophos.com/ja-jp/support/knowledgebase/110285.aspx

■

次のコマンドを実行してハードディスクにエラーがないかチェックします。 chkdsk %drive% /F /V /X

エンドポイントを再起動し、もう一度 chkdsk

を実行するようメッセージが表示される

場合があります。詳細は次の文章を参照してください。 http://www.sophos.com/ja-jp/support/knowledgebase/107799.aspx

Windows

のイベントビューアで結果

(

ログファイル

)

を確認する方法は次のとおりです。

Windows 7 の場合 : 「 Windows ログ」、「アプリケーション」の順に展開し、ソース

が「

Wininit

」の項目を確認します。

■ Windows 付属のデフラグツールを使用して、ローカルボリューム上で断片化されている

ブートファイル、データファイル、およびフォルダを検出してまとめてください。詳細

は次の文章を参照してください。 http://www.sophos.com/ja-jp/support/knowledgebase/109226.aspx

■

「 PROnetworks Boot Pro 」や「 Boot-US 」などの、サードパーティ製ブートマネージャ

をアンインストールします。

■ SafeGuard Enterprise を大規模に展開する前に、ハードウェアの構成ファイルの最新版

をインストールすることをお勧めします。このファイルは毎月更新されます。ダウンロー

ド場所については次のサイトを参照してください。 http://www.sophos.com/ja-jpsupport/knowledgebase/65700.aspx

■

エンドポイントのブートパーティションを FAT から NTFS に変換した場合で、その後、

コンピュータを再起動していない場合は、一度再起動してください。再起動しないと、

インストールが正常に完了しないことがあります。

■

SafeGuard Enterprise Client ( 管理型 ) の場合 :SafeGuard Enterprise Server への接続が確

立しているかどうかを確認します。エンドポイント上の

Internet Explorer

で

http://<

サー

バーの IP アドレス >/sgnsrv を開きます。「 Trans 」ページに「 Check Connection 」が

表示される場合は、

SafeGuard Enterprise Server

への接続に問題はありません。

9.3.1 Cloud Storage を使用するための準備

SafeGuard Enterprise のモジュール「 Cloud Storage 」は、クラウド上に保存されるデータ

をファイルベースで暗号化する機能です。

インストールガイド

Cloud Storage では、クラウド上のデータをローカルにコピーすると、透過的に暗号化が行

われます。また、そのデータをクラウド上に保存しても暗号化が解除されません。

クラウド上のデータは従来どおりの方法で利用できます。ベンダ固有のクラウド用ソフト

ウェアは影響を受けず、これまでどおりにクラウドとデータの送受信を行うことができま

す。

Cloud Storage を使用するための準備として以下を確認します。

■

Cloud Storage をインストールするエンドポイントに、ベンダ提供のクラウドストレー

ジソフトウェアがインストールされていること。

■

ベンダ提供のクラウドストレージソフトウェアは、保存先がローカルファイルシステム

で、クラウドとローカルシステムでデータを同期するアプリケーションまたはシステム

サービスが含まれていること。

■

ベンダ提供のクラウドストレージソフトウェアにより、同期したデータがローカルファ

イルシステムに保存されること。

注 : Cloud Storage は、クラウドに新規保存されたデータのみを暗号化します。 Cloud Storage

をインストールする前にすでにクラウドに保存されていたデータは、自動的には暗号化され

ません。このようなデータを暗号化するには、まずクラウドから削除し、 Cloud Storage を

インストールした後、再度クラウドに保存するようにしてください。

9.3.2 BitLocker ドライブ暗号化サポートの準備作業

注

インストールをする前に、

SafeGuard Enterprise

で運用・管理する暗号化機能を

BitLocker

ドライブ暗号化にするのか、 SafeGuard Enterprise のフルディスク暗号化にするのかを決定

します。両方をインストールしようとすると、インストールが中断します。

BitLocker 環境のエンドポイントを SafeGuard Enterprise で管理する場合は、エンドポイン

トで次の項目を確認します。

■ Windows 7

または

Windows 8

がエンドポイントにインストールされていること。

■

BitLocker ドライブ暗号化がインストールされ、有効化されていること。

■ TPM

認証を使用する場合は、

TPM

の初期化、有効化、所有者の定義が済んでいること。

■ SafeGuard Enterprise ボリュームベース暗号化機能をインストールする場合は、すべて

のボリュームが BitLocker ドライブ暗号化で暗号化されていないこと。そうでない場合、

システムに不具合が生じる場合があります。

■

BitLocker ドライブ暗号化のサポートファイルをインストールするには、ユーザーアカウ

ント制御

(UAC)

を無効にするか、またはビルトインの

Administrator

アカウントでログ

オンすること。

9.3.3 インストールした製品の変更にあたって

すでにインストールした SafeGuard Enterprise を変更したり、後から機能をインストール

したりする際、一部のコンポーネント

(

たとえば

SafeGuard Removable Media Manager

な

ど ) が使用中であると表示されることがあります。このメッセージは、選択した機能の共通

SafeGuard Enterprise

コンポーネントが使用中であるため、すぐに更新できないことが原因で表示されます。この

ようなコンポーネントは、再起動時に自動的に更新されるので、このメッセージは無視して

も構いません。

この現象は有人 / 無人のインストールモードどちらでも発生します。

9.4 構成パッケージの作成

SafeGuard Management Center

で、必要な構成ごとにエンドポイント用の構成パッケージ

を作成します。

■

管理型

Windows

エンドポイント

管理型クライアント用パッケージ

■

非管理型 Windows エンドポイント - スタンドアロンクライアント用パッケージ

■

Mac - 管理型クライアント用パッケージ

サービスアカウントを利用してインストール後の作業を行う際に使用する構成

初期構成パッケージは暗号化ソフトと同時にエンドポイントにインストールする必要があり

ます。

9.4.1 管理対象エンドポイント用の構成パッケージの作成

1. SafeGuard Management Center の「ツール」メニューで、「構成パッケージツール」

をクリックします。

「管理型クライアント用パッケージ」を選択します。

「構成パッケージの追加」をクリックします。

構成パッケージに対して任意のパッケージ名を入力します。

プライマリサーバーを割り当てます ( セカンダリサーバーは任意です ) 。

必要に応じ、コンピュータに適用する「ポリシーグループ」を指定します。このポリ

シーグループは、

SafeGuard Management Center

で事前に作成しておく必要がありま

す。コンピュータでインストール後のタスクを行う際にサービスアカントを使用する場

合は、この最初のポリシーグループに各ポリシー設定を追加します。詳細は

インストー

ル後のタスクを行う際のサービスアカウント

(p. 56)

を参照してください。

「転送の暗号化」モードを選択して、

SafeGuard Enterprise Client

と

SafeGuard Enterprise

Server との間の接続を暗号化する方法を定義します。 SafeGuard 転送暗号化と SSL 暗

号化の

種類から選択できます。

SSL の利点は、標準プロトコルであること、また SafeGuard 転送暗号化と比較して、よ

り高速な接続を実現できることです。 SSL 暗号化は、デフォルトで選択されています。

詳細は

SSL

による転送接続の保護

(p. 41)

を参照してください。

構成パッケージ

(MSI)

の出力パスを指定します。

「構成パッケージの作成」をクリックします。

「転送データの暗号化」モードとして SSL 暗号化を選択した場合は、サーバー接続が検

証されます。接続に失敗すると、警告メッセージが表示されます。

インストールガイド

これで、指定したディレクトリに構成パッケージ (MSI) が作成されました。このパッケージ

をエンドポイントに配布して、展開する必要があります。

9.4.2 非管理型エンドポイント用の構成パッケージの作成

1. SafeGuard Management Center

の「ツール」メニューで、「構成パッケージツール」

をクリックします。

「スタンドアロンクライアント用パッケージ」を選択します。

「構成パッケージの追加」をクリックします。

構成パッケージに対して任意のパッケージ名を入力します。

コンピュータに適用する「ポリシーグループ」を指定します。このポリシーグループ

は、 SafeGuard Management Center で事前に作成しておく必要があります。

「鍵バックアップ場所」で、鍵復旧ファイルを格納するための共有ネットワークパスを

指定するか、または選択します。共有パスは以下の形式で入力します。

ネットワーク

コンピュータ

\ (

例

: \\mycompany.edu\ )

ここでパスを指定しない場合、インストール

後にエンドポイントに最初にログオンする際、エンドユーザーはこのファイルの保存場

所を入力する必要があります。

鍵復旧ファイル (XML) は、 SafeGuard Enterprise で保護されるコンピュータを復旧する

ために必要で、各コンピュータ上に生成されます。

注

この鍵復旧ファイルは必ずヘルプデスク担当者がアクセスできる場所に保存してく

ださい。または、別の方法でヘルプデスク担当者にファイルを提供することもできます。

このファイルは、企業証明書によって暗号化されています。このため、外付けメディア

またはネットワークに保存しておき、復旧が必要なときにそれをヘルプデスク担当者に

提供することもできます。メールで送信することもできます。

「 POA グループ」で、エンドポイントに割り当てる POA ユーザーグループを選択でき

ます。

POA

ユーザーは、

Power-on Authentication

がアクティブ化された後に、エンドポ

イントにアクセスして管理タスクを実行できます。 POA ユーザーを割り当てるには、

POA

グループが

SafeGuard Management Center

の「ユーザーとコンピュータ」領域に

あらかじめ作成されている必要があります。

構成パッケージ

(MSI)

の出力パスを指定します。

「構成パッケージの作成」をクリックします。

これで、指定したディレクトリに構成パッケージ (MSI) が作成されました。このパッケージ

をエンドポイントに配布して、展開する必要があります。

9.4.3 Mac 用の構成パッケージの作成

Mac 用の構成パッケージには、サーバー情報と企業証明書が含まれます。 Mac はこの情報

を使用して、ステータス情報 (POA 有効 / 無効、暗号化の状態など ) を報告します。 SafeGuard

Management Center

に、ステータス情報が表示されます。

1. SafeGuard Management Center の「ツール」メニューで、「構成パッケージツール」

をクリックします。

「管理型クライアント用パッケージ」を選択します。

「構成パッケージの追加」をクリックします。

SafeGuard Enterprise

構成パッケージに対して任意のパッケージ名を入力します。

プライマリサーバーを割り当てます ( セカンダリサーバーは任意です ) 。

エンドポイントと SafeGuard Enterprise Server との間の接続の「転送データの暗号化」

として、「 SSL 」を選択します。 Mac 環境で、「 Sophos 」を「転送データの暗号化」

に指定することはできません。

構成パッケージ

(MSI)

の出力パスを指定します。

「構成パッケージの作成」をクリックします。

SSL の「転送データの暗号化」モードのサーバー接続が検証されます。接続に失敗する

と、警告メッセージが表示されます。

これで、指定したディレクトリに構成パッケージ (ZIP) が作成されました。次に、このパッ

ケージを Mac に配布して、展開する必要があります。

9.4.4 インストール後のタスクを実行するためのサービスアカウント

SafeGuard Enterprise

を集中的に一括インストールする場合は、サービスアカウントのリス

トを設定することをお勧めします。サービスアカウントのリストに IT 管理者を追加すると、

その管理者は SafeGuard Enterprise をインストールした後に Power-on Authentication (POA)

を有効にすることなく、エンドポイントにログオンできます。通常、インストール後に最初

にエンドポイントにログオンするユーザーがプライマリアカウントとして POA に追加され

るため、このように設定して管理タスクを実行することをお勧めします。ただし、サービス

アカウントのリストに含まれるユーザーは SafeGuard Enterprise のゲストユーザーとして

扱われます。

サービスアカウントを使った場合、ワークフローは次のようになります。

■

SafeGuard Enterprise をエンドポイントにインストールします。

■

サービスアカウントのリストに追加されているインストール担当ユーザーが、エンドポ

イントを再起動後、 Windows のログオン画面からログオンします。

■

エンドポイントに適用されるサービスアカウントのリストに基づいて、そのユーザーは

サービスアカウントとして認識され、ゲストユーザーとして扱われます。

■

展開担当者は POA には追加されず、 POA は有効になりません。エンドユーザーはログ

オンし、

POA

を有効にすることができます。

注 : サービスアカウントのリストはポリシー内で作成し、暗号化ソフトウェアをインストー

ル後、最初にエンドポイントにインストールする構成パッケージの最初のポリシーグループ

に適用する必要があります。詳細は、「

SafeGuard Enterprise

管理者ヘルプ」を参照してく

ださい。

9.5 暗号化ソフトウェアのインストール

エンドポイントに

SafeGuard Enterprise

の暗号化ソフトウェアをインストールするには、

次の 2 とおりの方法があります。

■

暗号化ソフトウェアをローカルインストールする。ソフトウェアをテストインストール

する際などに行います。

インストールガイド

■

暗号化ソフトウェアを一括インストールする。複数のエンドポイントに同じ設定内容で

ソフトウェアをインストールできます。

開始する前に、利用可能なインストールパッケージと管理型

非管理型エンドポイント用の

機能を確認します。各種別のエンドポイントに適用する構成パッケージが異なることを除

き、インストールの手順は同じです。

SafeGuard Enterprise をインストールし、 Power-on Authentication を有効化後、初回ログ

オン時のエンドポイントの動作については、「 SafeGuard Enterprise ユーザーヘルプ」を

参照してください。

9.5.1 インストールパッケージと機能

エンドポイントにインストールできる SafeGuard Enterprise 暗号化ソフトのインストール

パッケージと機能は、次の一覧表を参照してください。インストールパッケージは、製品

パッケージの Installers というフォルダにあります。

注 : エンドポイントの OS が 64 ビット版 Windows の場合、 64 ビット対応のインストール

パッケージ

パッケージ名

>_x64.msi)

をインストールします。

初回のインストールで、機能のサブセットしかインストールできない場合でも、最初から、

SafeGuard Enterprise

フルディスク暗号化パッケージ全体をインストールすることを推奨し

ます。

パッケージ内容管理型エンドポイン

ト

非管理型エ

ンドポイン

ト

SGxClientPreinstall.msi

プレインストールパッケージ

このパッケージは、暗号化ソフトのイ

ンストールパッケージをインストール

する前にインストールする必要があり

ます。最新の暗号化ソフトを正常にイ

ンストールするために必要なコンポー

ネントがエンドポイントにインストー

ルされます。

必須必須

SGNClient.msi

SGNClient_x64.msi

SafeGuard Client インストールパッ

ケージ

最新の暗号化ソフトを正常にインス

トールするために必要なコンポーネン

トがエンドポイントにインストールさ

れます。内蔵型ハードディスクや外付

けのハードディスクをフルディスク暗

号化する場合、 SafeGuard Enterprise

では、

SafeGuard

のボリュームベース

の暗号化機能または BitLocker のいず

れかを選択して暗号化できます。

SafeGuard Enterprise

パッケージ内容

SafeGuard のボリュームベースの暗号

化 (Windows 7 BIOS のみ )

SafeGuard フルディスク暗号化。

SafeGuard Power-on Authentication が

含まれます。

インストールの種類を「完全」、「標

準」、「カスタム」から選択します。

BitLocker または BitLocker C/R

Microsoft BitLocker 暗号化エンジンは

SafeGuard Enterprise によって管理さ

れます。 UEFI 版では、 BitLocker プリ

ブート認証で SafeGuard チャレンジ /

レスポンス機能を使用できます。一

方、

BIOS

版では、

SafeGuard Policy

Editor から復旧鍵を取得できます。

インストールの種類「カスタム」を選

択します。

Data Exchange

SafeGuard Data Exchange: すべての

OS 上のリムーバブルメディア上の

データを、再暗号化なしでファイル

ベースで暗号化する機能。

インストールの種類を「完全」または

「カスタム」から選択します。

File Encryption

特にワークグループのローカルハード

ディスクやネットワーク共有のデータ

をファイルベースで暗号化する機能。

インストールの種類を「完全」または

「カスタム」から選択します。

Cloud Storage

クラウド上に保存されるデータをファ

イルベースで暗号化。クラウドに保存

されているデータのローカルコピー

は、常に透過的に暗号化されます。ク

ラウドからのデータの送受信には、ベ

ンダー固有のソフトウェアの使用が必

要です。

管理型エンドポイン

ト

非管理型エ

ンドポイン

ト

インストールガイド

パッケージ内容

インストールの種類を「完全」または

「カスタム」から選択します。

管理型エンドポイン

ト

非管理型エ

ンドポイン

ト

9.5.2 暗号化ソフトウェアのローカルインストール

前提条件 :

■

エンドポイントに暗号化機能をインストールするための準備が完了している必要があり

ます。詳細は、

暗号化前のエンドポイントの準備作業

(p. 51)

を参照してください。

■

インストールする暗号化ソフトパッケージと機能を決定します。

暗号化ソフトウェアをローカルコンピュータにインストールする手順は次のとおりです。

エンドポイントに管理者権限でログオンします。

2. SafeGuard LAN Crypt 3.7 x がインストールされているエンドポイントに SafeGuard Data

Exchange をインストールする場合、最初に

SGFileEncCompLayer.msi

または

SGFileEncCompLayer_x64.msi

という互換性コンポーネントをインストールします。

スクリプトは製品パッケージのフォルダに保存されています。詳細は

SafeGuard LAN

Crypt との互換性

(p. 10) を参照してください。

最新のプレインストールパッケージ

SGxClientPreinstall.msi

をインストールし

ます。暗号化ソフトウェアを正常にインストールするために必要なコンポーネントが、

エンドポイントにインストールされます。

注 : または、 vcredist_x86.exe

をインストールします。このインストーラは次のサ

イトからインストール可能です。 http://www.microsoft.com/downloads/details.aspx?FamilyID=766a6af7-ec73-40ff-b072-9112bab119c2

あるいは、

MSVCR100.dll

がコンピュータの

Windows\WinSxS

というフォルダにある

ことを確認します。

暗号化ソフトウェアパッケージ (MSI) をダブルクリックします。ウィザードの指示に

従って必要な手順を実行します。

これ以降のウィザードの各ダイアログでデフォルトの値をそのまま使用します。

注

初回のインストールでは、最初から「完全」を選択してインストールすることを推

奨します。機能のサブセットのみをインストールするには、「カスタム」インストール

を選択し、必要に応じて各機能をアクティブ化

非アクティブ化します。

SafeGuard Enterprise をエンドポイントにインストールします。

あらかじめ SafeGuard Management Center で作成した関連する構成パッケージ (MSI)

の保存先に移動します。管理対象、および管理対象外のエンドポイントには、特定の構

成パッケージをインストールする必要があります。詳細は

構成パッケージの作成

(p. 54)

を参照してください。

関連する構成パッケージ (MSI) をコンピュータにインストールします。

SafeGuard Enterprise

インストール後、エンドポイントを 2 度再起動し、 POA (Power-on-Authentication) を有

効化します。さらにもう一度コンピュータを再起動し、各 Windows ブートのカーネル

データのバックアップを実行します。

正常にカーネルのバックアップを実行するために、

度目の再起動の前に、コンピュータ

が一時停止、休止状態、またはハイブリッドスリープモードではないことを確認してく

ださい。

エンドポイントの SafeGuard Enterprise が設定されます。 SafeGuard Enterprise インストー

ル後のコンピュータのログオン動作の詳細は、「

SafeGuard Enterprise

ユーザーヘルプ」

を参照してください。

9.5.3 暗号化ソフトウェアの一括インストール

暗号化ソフトを一括インストールすると、各エンドポイント上のインストール内容を標準化

できます。

注 : ソフトウェアの一括配信では、インストールパッケージと構成パッケージはエンドポイ

ントだけに適用されます。ユーザーに適用することはできません。

一括インストールを行うには次の手順を実行します。

■

利用可能な暗号化パッケージと管理型

非管理型エンドポイント用の機能を確認します。

詳細は、

インストールパッケージと機能 (p. 57)

を参照してください。

■

コマンドラインオプションを確認します。

■

ADDLOCAL

コマンドラインオプション用機能パラメータの一覧を確認します。

サンプルコマンドを確認します。

■

インストールスクリプトを準備します。

9.5.3.1 Active Directory を使用した暗号化ソフトウェアの一括インストール

Active Directory のグループポリシーオブジェクト (GPO) を使用して暗号化ソフトウェア

を一括インストールする際は、次の手順を実行してください。

注 : ソフトウェアの一括配信では、インストールパッケージと構成パッケージはエンドポイ

ントだけに適用されます。ユーザーに適用することはできません。

■

各インストールパッケージに対して個別のグループポリシーオブジェクト (GPO) を使

用し、以下の順にインストールします。

互換性コンポーネント

プレインストールパッケージ

暗号化ソフトウェアパッケージ

クライアント構成パッケージ

パッケージの詳細は、

インストールスクリプトの準備 (p. 61)

を参照してください。

■

エンドポイントの言語がローカル言語に設定されている場合は、追加で次の手順も実行

してください。「グループポリシーエディタ」で、各グループオブジェクトを選択し、

「コンピュータの構成 > ソフトウェアの設定 > 詳細設定」を選択します。「詳細展開オ

プション」ダイアログで、「このパッケージを展開するときは言語を無視する」を選択

して、「 OK 」をクリックします。

インストールガイド

9.5.3.2 インストールスクリプトの準備

前提条件 :

■

エンドポイントに暗号化機能をインストールするための準備が完了している必要があり

ます。

■

インストールする暗号化ソフトパッケージと機能を決定します。

暗号化ソフトウェアを一括インストールする方法は次のとおりです。

すべてのアプリケーションを一括に格納する

Software

という名前のフォルダを作成し

ます。

お持ちのツールを使用して、エンドポイントにインストールするパッケージを作成しま

す。パッケージには、次のコンポーネントを上から順に取り込む必要があります。

説明パッケージ

プレインストールパッケージ

SGxClientPreinstall.msi

必須パッケージは、最新の暗号化ソフトウェアを正常に

インストールするために必要なもの ( 必須の

MSVCR100.dll

など ) をエンドポイントにインストール

します。

注

このパッケージがインストールされていない場合、

暗号化ソフトウェアのインストールは中止されます。

暗号化ソフトウェアパッケージ

使用可能なパッケージ一覧は、インストールパッケージ

と機能 (p. 57)

を参照してください。

エンドポイント用の構成パッケージあらかじめ SafeGuard Management Center で作成した構

成パッケージを使用します。管理対象、および管理対象

外のエンドポイントには、それぞれ異なる構成パッケー

ジをインストールする必要があります。詳細は

構成パッ

ケージの作成

(p. 54)

を参照してください。古い構成パッ

ケージは必ず最初に削除するようにしてください。

事前設定されたインストール用のコマンドを実行するスクリプトを作成します。スクリ

プトでは、暗号化ソフトのどの機能をインストールするか指定する必要があります。詳

細は、

ADDLOCAL

オプションの機能パラメータ

(p. 63)

を参照してください。コマンド

プロンプトを開き、スクリプトのコマンドを入力します。コマンドラインの構文につい

ては、

一括インストールのコマンドラインオプション

(p. 62)

を参照してください。

このパッケージは適切な方法でエンドポイントに配布する必要があります。

インストールがエンドポイントで実行されます。これで、エンドポイントで SafeGuard

Enterprise が使用できるようになります。

インストール後、エンドポイントを 2 度再起動し、 POA (Power-on Authentication) を有

効化します。さらにもう一度エンドポイントコンピュータを再起動し、各

Windows

ブー

トのカーネルデータのバックアップを実行します。

正常にカーネルのバックアップを実行するために、 3 度目の再起動の前にコンピュータが

一時停止や休止状態ではないことを確認してください。

SafeGuard Enterprise

各ハードウェア OS で Power-on Authentication (POA) が適切に機能するには、追加の構成

が必要になる場合があります。ハードウェア競合のほとんどは、 POA に組み込まれている

「ホットキー」を使用して解決できます。ホットキーは、インストール後

POA

で設定した

り、追加構成のパラメータとともに Windows インストーラコマンドツール msiexec を使

用して設定したりできます。詳細は次の文章を参照してください。 http://www.sophos.com/ja-jp/support/knowledgebase/107781.aspx

http://www.sophos.com/ja-jp/support/knowledgebase/107785.aspx

9.5.3.3 一括インストールのコマンドラインオプション

一括インストールする場合、 msiexec

という Windows インストーラコンポーネントを使

用することを推奨します。

Msiexec

は、あらかじめ設定されている SafeGuard Enterprise

のインストールを自動的に実行します。

Msiexec

は、

Windows

に含まれています。詳細は

次の文章を参照してください。 http://msdn.microsoft.com/en-us/library/aa367988(VS.85).aspx

(

英語

)

コマンドラインの構文

msiexec /i <

パス

+msi

パッケージ名

> /qn ADDLOCAL=ALL | <SGN

機能

> <SGN

パラメータ

コマンドラインの構文は以下から構成されます。

■ Windows

インストーラのパラメータ

(

インストール時にファイルにログとして記録され

る警告やエラーメッセージなど ) 。

■

インストールされる SafeGuard Enterprise の機能 ( フルディスク暗号化など ) 。

■ SafeGuard Enterprise

のパラメータ

(

インストール先ディレクトリを指定するパラメータ

など ) 。

コマンドラインオプション

利用可能な msiexec.exe のコマンドラインオプションをすべて選択できます。主なオプショ

ンを以下に説明します。

オプション

/qn

説明

処理がインストールであることを指定します。

ユーザーの操作なしでインストールを実行し、ユーザーインターフェー

スを表示しません。

インストールガイド

オプション

ADDLOCAL=

説明

インストールする SafeGuard Enterprise の機能を指定します。このオ

プションが指定されていない場合、標準インストール用に用意されて

いるすべての機能がインストールされます。

各インストールパッケージに含まれる SafeGuard Enterprise の機能と、

その機能を利用できるエンドポイントの種類については、

インストー

ルパッケージと機能

(p. 57)

を参照してください。

ADDLOCAL

オプショ

ンで指定できる機能パラメータの一覧は、 ADDLOCAL オプションの機

能パラメータ (p. 63)

を参照してください。

ADDLOCAL=ALL

REBOOT=Force |

NoRestart

Windows 7 (BIOS) 環境で

ADDLOCAL=ALL

を指定した場合、 SafeGuard

のボリュームベース暗号化機能やその他の利用可能な機能がすべてイ

ンストールされます。 Windows 8 環境で

ADDLOCAL=ALL

を指定した

場合、 BitLocker 対応機能やその他の利用可能な機能がすべてインス

トールされます。

インストール後に再起動するかどうかを制御します。何も指定しなけ

れば、インストール後に強制的に再起動されます。

/L* < パス + ファイル名 > すべての警告とエラーメッセージを指定されたログファイルに記録し

ます。パラメータ

/Le <

パス

ファイル名

は、エラーメッセージ

のみをログに記録します。

Installdir= < ディレクト

リ >

SafeGuard Enterprise の暗号化ソフトをインストールするディレクト

リを指定します。値を省略すると、デフォルトのインストールディレ

クトリは < システム >:\PROGRAM FILES\SOPHOS になります。

9.5.3.4 ADDLOCAL オプションで指定する機能名のパラメータ

エンドポイントにインストールする機能は、あらかじめ決めておく必要があります。インス

トールする機能の名前をコマンドオプション

ADDLOCAL

のパラメータとして指定します。

コマンドラインで

ADDLOCAL

の後にインストールする機能を列挙します。

■

機能はコンマで区切り、スペースは使用しません。

■

大文字と小文字は区別されます。

■

機能を選択する場合は、親機能すべてもコマンドラインに追加する必要があります。

■

機能名と対応するモジュール名は異なる場合がありますので注意してください。その場

合は、次の表にカッコ書きで表記しています。

■

「

Client

」および「

CredentialProvider

」機能はデフォルトで指定する必要があります。

エンドポイントにインストール可能な機能については次の表を参照してください。詳細は

イ

ンストールパッケージと機能

(p. 57)

を参照してください。

SafeGuard Enterprise

親機能

Client

機能

Client, BaseEncryption

CredentialProvider ( 資格情報プロバイダ )

必須です。この機能を選択すると、資格情報プロバイ

ダによるログオンが有効になります。

SectorBasedEncryption (SafeGuard のボリューム

ベース暗号化 )

注 : 「 SectorBasedEncryption 」または

「 BitLockerSupport 」を指定できます。

Client,BaseEncryption BitLockerSupport (BitLocker)

Client,BaseEncryption, BitLockerSupport BitLockerSupportCR (BitLocker C/R)

Client

SecureDataExchange (Data Exchange)

クライアント

Client

FileShare (File Encryption)

CloudStorage (Cloud Storage)

9.5.3.5 サンプルコマンド:SafeGuard ボリュームベースの暗号化機能 / SafeGuard File

Encryption

このコマンドは次の項目をインストールします。

■

暗号化ソフトウェアを正常にインストールするために必要なコンポーネント : エンドポイ

ントにインストールされます。

■

Windows の資格情報プロバイダーによるエンドポイントへのログオン機能。

■

SafeGuard Enterprise Power-on Authentication (POA) 。

■ SafeGuard Enterprise

ボリュームベースの暗号化。

■

SafeGuard File Encryption: ローカルハードディスクとネットワーク共有のデータをファ

イルベースで暗号化します。

■

構成パッケージ : エンドポイントを管理型エンドポイントとして設定し、 SafeGuard

Enterprise Server との接続を確立します。

■

ログファイルが作成されます。

インストールガイド

サンプルコマンド : msiexec /i F:\Software\SGxClientPreinstall.msi /qn /log

I:\Temp\SGxClientPreinstall.log

msiexec /i F:\Software\SGNClient.msi /qn /log I:\Temp\SGNClient.log

ADDLOCAL=Client,CredentialProvider,BaseEncryption,SectorBasedEncryption,FileShare

Installdir=C:\Program Files\Sophos\SafeGuard Enterprise msiexec /i F:\Software\SGNConfig_managed.msi /qn /log

I:\Temp\SGNConfig_managed.log

9.5.3.6 サンプルコマンド:SafeGuard BitLocker 対応 / チャレンジ/レスポンス機能

このコマンドは次の項目をインストールします。

■

暗号化ソフトウェアを正常にインストールするために必要なコンポーネント : エンドポイ

ントにインストールされます。

■ Windows

の資格情報プロバイダーによるエンドポイントへのログオン機能。

■

SafeGuard BitLocker 対応。

■ SafeGuard

チャレンジ

レスポンス機能

: BitLocker

の復旧対応。

■

構成パッケージ : エンドポイントを管理型エンドポイントとして設定し、 SafeGuard

Enterprise Server との接続を確立します。

■

ログファイルが作成されます。

サンプルコマンド : msiexec /i F:\Software\SGxClientPreinstall.msi /qn /log

I:\Temp\SGxClientPreinstall.log

msiexec /i F:\Software\SGNClient.msi /qn /log I:\Temp\SGNClient.log

ADDLOCAL=Client,BaseEncryption,CredentialProvider,BitLockerSupport,BitLockerSupportCR

Installdir=C:\Program Files\Sophos\SafeGuard Enterprise msiexec /i F:\Software\SGNConfig_managed.msi /qn /log

I:\Temp\SGNConfig_managed.log

SafeGuard Enterprise

9.5.3.7 サンプルコマンド:SafeGuard BitLocker 対応 / チャレンジ/レスポンス機能 /

SafeGuard File Encryption

このコマンドは次の項目をインストールします。

■

暗号化ソフトウェアを正常にインストールするために必要なコンポーネント : エンドポイ

ントにインストールされます。

■

Windows の資格情報プロバイダーによるエンドポイントへのログオン機能。

■ SafeGuard BitLocker

対応。

■ SafeGuard チャレンジ / レスポンス機能 : BitLocker の復旧対応。

■

SafeGuard File Encryption: ローカルハードディスクとネットワーク共有のデータをファ

イルベースで暗号化します。

■

構成パッケージ : エンドポイントを管理型エンドポイントとして設定し、 SafeGuard

Enterprise Server

との接続を確立します。

■

ログファイルが作成されます。

サンプルコマンド : msiexec /i F:\Software\SGxClientPreinstall.msi /qn /log

I:\Temp\SGxClientPreinstall.log

msiexec /i F:\Software\SGNClient.msi /qn /log I:\Temp\SGNClient.log

ADDLOCAL=Client,BaseEncryption,CredentialProvider,BitLockerSupport,BitLockerSupportCR,FileShare

Installdir=C:\Program Files\Sophos\SafeGuard Enterprise msiexec /i F:\Software\SGNConfig_managed.msi /qn /log

I:\Temp\SGNConfig_managed.log

9.6 Mac 版暗号化ソフトウェアのインストール

Mac OS X

クライアントへの暗号化ソフトウェアのインストールについては、「

Sophos

SafeGuard File Encryption for Mac 管理者ガイド」と「 Sophos SafeGuard Native Device

Encryption for Mac

管理者ガイド」を参照してください。

9.7 FIPS 規格に準拠したインストール

FIPS は暗号化モジュールのセキュリティ要件の仕様を規定する規格です。たとえば、米国・

カナダの政府機関は、特にセキュリティが重要な情報に関して

FIPS 140-2

認定ソフトウェ

アの使用を求めています。

インストールガイド

SafeGuard Enterprise では FIPS 認定 AES アルゴリズムが使用されますが、より高速で新

しい AES アルゴリズム (FIPS 未認定 ) の実装がデフォルトでインストールされます。

FIPS

認定版の

AES

アルゴリズムを使用するには、

SafeGuard Enterprise

暗号化ソフトをイ

ンストールする際に、 FIPS のプロパティを 1 に設定してください。

設定するには、コマンドラインのスクリプトにプロパティを追加します。 msiexec /i F:\Software\SGNClient.msi FIPS=1

注 : この設定は、 SafeGuard Enterprise Device Encryption と Windows 7 のみで使用できま

す。

注

: FIPS

対応の

SafeGuard Enterprise

をアップグレードする場合は、選択する設定にかか

わらず、 FIPS 対応モードで新しいバージョンがインストールされることに注意してくださ

い。

9.8 Opal 準拠の自己暗号化ハードドライブへのインス

トール

SafeGuard Enterprise は、特定のベンダに依存しない Opal 仕様に対応している、 Opal 準拠

の自己暗号化ハードドライブを実装したエンドポイントを管理できます。

Opal 準拠の自己暗号化ハードドライブが正確に標準仕様に準拠していることを確認するた

め、エンドポイントに

SafeGuard Enterprise

をインストールする際に次の

種類のチェッ

クが行われます。

■

機能チェック

ハードドライブが「

OPAL

」ハードドライブとして認識されること、通信のプロパティ

が正しいこと、および SafeGuard Enterprise で必要な Opal の機能がすべてハードドラ

イブでサポートされていることを確認します。

■

セキュリティチェック

ハードドライブに SafeGuard Enterprise のユーザーだけが登録されていること、またソ

フトウェアで暗号化するハードドライブ

(

自己暗号化機能を持たない

)

で使用する鍵を

SafeGuard Enterprise のユーザーだけが所有していることを確認します。インストール

中に他に登録されているユーザーが検出された場合、これらのユーザーは

SafeGuard

Enterprise で自動的に無効にされます。この機能は Opal 標準で要求されるものです。

Opal システムを実行するために必要ないくつかのデフォルト権限は例外です。

注

: Opal

モードのインストールに成功した後、ハードドライブ用の暗号化ポリシーが適

用されると、セキュリティチェックが繰り返されます。このセキュリティチェックに失

敗した場合は、インストール時に最初のチェックが行われた後に

SafeGuard Enterprise

の外部でドライブ管理の操作が行われた可能性を示唆します。この場合、 SafeGuard

Enterprise によって Opal ハードドライブはロックされません。該当するメッセージが表

示されます。

いずれかのチェックが修復不可能な状態で失敗した場合、ソフトウェアベースの暗号化に戻

りません。そして、

Opal

標準に準拠しているドライブ上のすべてのボリュームは暗号化さ

れないままとなります。

SafeGuard Enterprise

SafeGuard Enterprise バージョン 7 以降、 Opal に関するチェックはデフォルトで実行され

ません。つまり、 Opal ドライブが存在する場合でも、 SafeGuard Enterprise はそのドライ

ブ上のボリューム対してソフトウェアベースで暗号化を実行します。

Opal に関するチェックを施行するには、次の構文でコマンドラインを実行します。

MSIEXEC /i <

対象のクライアント

MSI

名

>.msi OPALMODE=0

注 : Opal ハードウェア暗号化モードが使用される、 Opal ハードドライブのあるシステムで

SafeGuard Enterprise 6.x

を

SafeGuard Enterprise 7.0

にアップグレードした場合、

Opal

ハードウェア暗号化モードが維持されます。

一部の Opal 準拠ハードドライブにはセキュリティの問題がある可能性があります。 SafeGuard

Enterprise

のインストール

暗号化を行う際、ハードドライブに登録済みの不明なユーザー

権限に割り当てられている権限を自動的に認識する方法はありません。このようなユーザー

を無効にするコマンドがハードドライブで拒否された場合、セキュリティを最大限に強化す

るため、 SafeGuard Enterprise はソフトウェア暗号化モードに戻ります。ハードドライブ自

体の安全性を保証することはできませんが、セキュリティリスクが存在する可能性のあるド

ライブの使用をユーザー自身の裁量で許可する、特別なインストールオプションを使用する

こともできます。各ハードドライブに対応するインストールオプションや、サポートされる

ハードドライブについて、詳細は

SafeGuard Enterprise

リリースノートを参照してくださ

い。

インストールオプションを適用するには、次の構文でコマンドを実行します。

MSIEXEC /i <

対象のクライアント

MSI

名

>.msi

IGNORE_OPAL_AUTHORITYCHECK_RESULTS=1

変換ファイルを使って msi ファイルをインストールする場合は、 MSI の内部プロパティに

同じ名前があります。

SafeGuard Enterprise での Opal 準拠ハードドライブの使用について詳細は、「 SafeGuard

Enterprise 管理者ヘルプ」および「ユーザーヘルプ」を参照してください。

インストールガイド

10 SafeGuard Enterprise データベースの

複製

SafeGuard Enterprise

のデータベースは、複数の

SQL Server

に複製し、パフォーマンスを

向上させることができます。

この章では、 SafeGuard Enterprise データベースのレプリケーションを分散環境で設定する

方法について説明します。ここでは、

Microsoft SQL Server

のレプリケーションを使用した

ことがあることを想定しています。

注

管理はマスタデータベースのみで行い、レプリケーションデータベースでは行わない

ようにする必要があります

重要 :

ここで説明するデータベースのレプリケーションは、フェイルオーバーなどの冗長化が目的

ではありません。データベースが複数のサーバーに分散している環境におけるパフォーマン

スの向上を目的としています。

10.1 マージレプリケーション

マージレプリケーションとはパブリッシャからサブスクライバへのデータ配布処理のこと

です。パブリッシャとサブスクライバ各々で更新を行い、サイト間の更新をマージします。

マージレプリケーションでは、さまざまなサイトが自律的に動作し、後で更新内容が 1 つ

の均一な結果にマージされます。初期スナップショットがサブスクライバに適用されてか

ら、

Microsoft SQL Server

がパブリッシャとサブスクライバで公開されたデータの変更内容

を追跡します。スケジュール設定した時刻または要求時にサーバー間で連続的にデータが同

期されます。更新は複数のサーバーで行われるため、同じデータがパブリッシャまたは複数

のサブスクライバによって更新される場合があります。このため、更新内容をマージすると

きに、競合が発生する可能性があります。

マージレプリケーションには、マージパブリケーションの設定時にデフォルトとカスタム

の競合解決方法を定義できます。競合が発生すると、マージエージェントによって競合回

避モジュール起動され、どのデータを受け入れて他のサイトに伝達するのかを決定します。

10.2 データベースレプリケーションの設定

SafeGuard Enterprise のデータベースのレプリケーションの設定について、 Microsoft SQL

Server

を例に用いて説明します。

この例では、 SafeGuard Enterprise は、 Vienna にあるデータベースから排他的に管理され

ています。すべての変更内容は SafeGuard Management Center によって、 Microsoft SQL

Server

のレプリケーション機能を通じ、

Graz

および

Linz

というデータベースに渡されま

す。また、 Web サーバーを経由でクライアントコンピュータからレポートされる変更も、

レプリケーション機能を通じて

Microsoft SQL Server

に渡されます。

SafeGuard Enterprise

10.2.1 マスターデータベースの生成

まず

SafeGuard Enterprise

のマスターデータベースを設定します。この例では「

Vienna

」

というデータベースです。

マスターデータベースを生成する手順は、レプリケーションなしで SafeGuard Enterprise

をインストールする際の手順と同じです。

■

SafeGuard Management Center 構成ウィザードでマスターデータベースを作成する。

この手順では、

SafeGuard Management Center

がインストール済みである必要がありま

す。詳細は

SafeGuard Management Center の初期設定の開始

(p. 28) を参照してくださ

い。

■ SQL

スクリプトを使用してマスターデータベースを作成する。スクリプトは製品パッ

ケージのフォルダに保存されています。

この方法は

SafeGuard Management

を設定する際に拡張

SQL

アクセス権限を付与した

くない場合に選択します。詳細は

スクリプトによる SafeGuard Enterprise データベース

の作成 (p. 22)

を参照してください。

10.2.2 レプリケーションデータベース Graz と Linz の生成

マスタデータベースを設定後、レプリケーションデータベースを生成してください。この

例では、レプリケーションデータベースは Graz と Linz という名前です。

注

データテーブルと

EVENT

テーブルは、別のデータベースの中に保持されます。イベ

ントエントリがデフォルトで連結されていない場合、イベントデータベースを複数の SQL

Server に複製してパフォーマンスを向上させることができます。 EVENT テーブルが連結さ

れていると、データレコードの複製中に問題が発生する可能性があります。

インストールガイド

レプリケーションデータベースの生成方法は次のとおりです。

1. SQL Server の Management Console でマスターデータベースのパブリケーションを作

成します。

パブリケーションではレプリケーションするデータの集まりが定義されます。

このパブリケーションで同期させるすべてのテーブル、ビュー、およびストアドプロ

シージャを選択します。

3. Graz のサブスクリプションと Linz のサブスクリプションを生成することで、レプリケー

ションデータベースを作成します。新しい

Graz

と

Linz

のデータベースがサブスクリプ

ションの SQL 構成ウィザードに表示されます。

4. SQL 構成ウィザードを閉じます。レプリケーションメカニズムが正常に実行されたかど

うかがレプリケーションモニタに表示されます。

5. SQL スクリプトの最初の行に適切なデータベース名を入力してください。例えば、

Graz

または

Linz

を使用します。

スナップショットエージェントを使用して、もう一度スナップショットを生成します。

レプリケーションデータベース

Graz

と

Linz

が作成されました。

10.3 SafeGuard Enterprise Server のインストールと登録

SafeGuard Enterprise Server を Web サーバーにインストールするには、次の手順を実行し

ます。

1. SafeGuard Enterprise Server をサーバー WS_1 にインストールします。

2. SafeGuard Enterprise Server をサーバー WS_2 にインストールします。

3. SafeGuard Management Center で両方のサーバーを登録します。「ツール」メニュー

で、「構成パッケージツール」、「サーバー」の順にクリックします。「サーバー」タ

ブで「追加」をクリックします。

サーバー証明書 ws_1.cer

と ws_2.cer

を追加するようメッセージが表示されます。

これらの証明書は

\Program Files\Sophos\Sophos SafeGuard\MachCert\

フォ

ルダにあります。適切なサーバー構成パッケージの作成に必要です。

SafeGuard Enterprise Server

がインストール・登録されます。

10.4 Graz データベース用の構成パッケージの作成

Graz データベース用の構成パッケージを作成する必要があります。 1 つはサーバー WS_1

と

Graz

データベースの通信用、もう

つは

SafeGuard Enterprise Client Graz

と

Web

サー

ビス WS_1 の通信用です。

1. SafeGuard Management Center の「ツール」メニューで「オプション」、「データベー

ス」の順にクリックします。

「接続の設定」で「

WS_1

」を「データベースサーバー」に選択し、

Graz

を「データ

ベース」に選択します。「 OK 」をクリックします。

「ツール」メニューで、「構成パッケージツール」、「サーバー用パッケージ」の順に

クリックします。「

WS_1

」サーバーを選択して出力用パスを選択します。そして、「構

成パッケージの作成」をクリックします。

SafeGuard Enterprise

「構成パッケージの作成 ( 管理型 ) 」タブに切り替えます。「構成パッケージの追加」を

クリックし、パッケージ名を入力します。「プライマリサーバー」で SafeGuard

Enterprise Client Graz

を接続させる正しいサーバー

WS_1

を選択します。出力先を選択

し、「構成パッケージの作成」をクリックします。

Graz データベース用 SafeGuard Enterprise Server /Client 構成パッケージが指定した出力

先に作成されます。

10.5 Linz データベース用の構成パッケージの作成

Linz

データベース用の構成パッケージを作成する必要があります。

つは

WS_2

サーバーと

Linz データベースの通信用、もう 1 つが SafeGuard Enterprise Client Linz と Web サービス

WS_2

の通信用です。

1. SafeGuard Management Center の「ツール」メニューで「オプション」、「データベー

ス」の順にクリックします。

「接続の設定」で「

WS_2

」を「データベースサーバー」に選択し、 Linz を「データベー

ス」に選択します。「 OK 」をクリックします。

「ツール」メニューで、「構成パッケージツール」、「サーバー用パッケージ」の順に

クリックします。「

WS_2

」サーバーを選択して出力用パスを選択します。そして、「構

成パッケージの作成」をクリックします。

「構成パッケージの作成 ( 管理型 ) 」タブに切り替えます。「構成パッケージの追加」を

クリックし、パッケージ名を入力します。「プライマリサーバー」で SafeGuard

Enterprise Client Linz

を接続させる正しいサーバー

WS_2 WS_2

を選択します。出力先

を選択し、「構成パッケージの作成」をクリックします。「閉じる」をクリックします。

もう一度 SafeGuard Management Center を Vienna データベースに接続します。「ツー

ル」メニューで、「オプション」、「データベース」の順にクリックします。

Linz データベース用 SafeGuard Enterprise Server /Client 構成パッケージが指定した出力先

に作成されます。

10.6 SafeGuard Enterprise Server 構成パッケージのイン

ストール

サーバー構成パッケージ ( ws_1.msi

) を Web サービス WS_1 にインストールします。

このサービスは Graz データベースと通信します。

サーバー構成パッケージ ws_2.msi

を Web サービス WS_2 にインストールします。こ

のサービスは

Linz

データベースと通信します。

3. SafeGuard Enterprise Server

とこれらのデータベースとの間の通信状態をテストしま

す。 a) SafeGuard Enterprise Server がインストールされているコンピュータで、「インター

ネットインフォメーションサービス

(IIS)

マネージャ」を開きます。 b) ツリー構造の「インターネットインフォメーションサービス 」をクリックします。

「

サーバー名

」、「

Web

サイト」、「既定の

Web

サイト」の順にクリックしま

インストールガイド

す。「規定の Web サイト」フォルダの「 SGNSRV 」という Web ページが利用でき

ることを確認します。 c)

「

SGNSRV

」を右クリックして「参照」をクリックします。実行可能なアクション

のリストが表示されます。 d) このリストから「

CheckConnection

」を選択します。画面に実行可能なアクション

が表示されます。 e) 接続をテストするには「起動」をクリックします。

次の結果が出力されれば接続テストは成功です。

10.7 エンドポイントの設定

エンドポイントへの暗号化ソフトのインストールについては、暗号化ソフトウェアの一括イ

ンストール

(p. 60)

を参照してください。

注 : エンドポイントの設定にあたり、インストール後、適切な構成パッケージをインストー

ルするようにしてください。

1. Graz

サーバー

WS_1

に接続されるエンドポイントに

Graz

構成パッケージをインストー

ルします。

2. Linz サーバ WS_2 に接続されるエンドポイントに Linz クライアントの構成パッケージ

をインストールします。

SafeGuard Enterprise レプリケーションデータベースのアップデートについて、詳細は

「 SafeGuard Enterprise アップグレードガイド 」を参照してください。

SafeGuard Enterprise

11 アンインストールについて

このセクションでは、以下について説明します。

■

アンインストールのベストプラクティス

■

SafeGuard Enterprise 暗号化ソフトのアンインストール

エンドポイントにインストールされている

SafeGuard Enterprise

暗号化ソフトウェアの

アンインストールの防止

11.1 アンインストールのベストプラクティス

SafeGuard Enterprise

の暗号化ソフトウェアと

SafeGuard Management Center

を同じコン

ピュータにインストールしている場合で、どちらか一方をアンインストールする際は、アン

インストール後、残りのソフトウェアを正常に動作させるため、必ず、次の手順を実行して

ください。

1. SafeGuard Management Center をアンインストールする。

構成パッケージをアンインストールする。

暗号化ソフトをアンインストールする。

今後も続けて使用するパッケージをインストールし直す。

11.2 SafeGuard Enterprise 暗号化ソフトのアンインス

トール

SafeGuard Enterprise の暗号化ソフトをエンドポイントからアンインストールする主なス

テップは次のとおりです。

■

暗号化データを復号化する。

■

暗号化ソフトをアンインストールする。

エンドポイントで復号化やアンインストールを実行するには、該当するポリシーが適用

されている必要があります。

11.2.1 エンドポイントでのアンインストールの防止

エンドポイントコンピュータの保護を強化するため、ローカルマシンでの

SafeGuard

Enterprise のアンインストールを防止することを推奨します。「マシンの設定」ポリシーの

「アンインストールを許可する」オプションを「いいえ」に設定し、このポリシーをエンド

ポイントに適用します。アンインストールを試みるとキャンセルされ、不正な操作はログに

に記録されるようになります。

インストールガイド

11.2.2 暗号化データの復号化

次の前提条件を満たす必要があります。

暗号化されているボリュームをアンインストールするには、ボリュームベースで暗号化さ

れているボリュームすべてに、ドライブ文字が割り当てられている必要があります。

1. SafeGuard Management Center

で、復号化するコンピュータに現在割り当てられている

「デバイス保護」タイプのポリシーを編集します。対象を選択し、「ユーザーはボリュー

ムを復号化できる」を「はい」に設定します。ポリシーを該当するエンドポイントに割

り当てます。

「デバイス保護」タイプの復号化ポリシーを作成し、復号化する対象を選択し、「メディ

アの暗号化モード」を「暗号化なし」に設定します。

「ユーザーとコンピュータ」で、復号化するコンピュータ用にグループを作成します。

グループを作成するドメインのノードを右クリックします。「新規作成 > 新しいグルー

プを作成する」を選択します。

このグループのドメインのノードを選択し、「使用できるポリシー」リストから「ポリ

シー」タブにポリシーをドラッグして復号化ポリシーを適用します。「使用できるグルー

プ」の一覧から「有効化」ペインにグループをドラッグしてポリシーを有効化します。

ドメインノードの「ポリシー」タブで、優先度が 1 に設定されていることを確認し、

「上書きなし」がアクティブ化されていることを確認します。ドメインノードの「有効

化」ペインで、グループのメンバーのみに、このポリシーが適用されていることを確認

します。

「ユーザーとコンピュータ」ナビゲーションペインでグループを選択し、アクションペ

インに表示される「メンバー」タブで右クリックします。「追加」をクリックして複合

化するコンピュータをグループに追加します。

復号化するエンドポイントと

SafeGuard Enterprise Server

の同期をとり、アップデート

版ポリシーを取得済みで、アクティブ化されているようにします。

7. Windows エクスプローラを開きます。復号化するボリュームを右クリックし、「暗号化

> 復号化」をクリックします。

復号化が正常に完了したことを確認してください。

注 : 暗号化 / 復号化の処理中にエンドポイントがシャットダウンし、再起動する可能性が

あります。アンインストール後に復号化を行う場合は、復号化処理中にエンドポイント

をスリープ状態や休止状態にしないことを推奨します。

11.2.3 アンインストールの開始

次の前提条件を満たす必要があります。

■

暗号化されたデータに後でアクセスできるようにするには、データを完全に復号化する

必要があります。復号化処理が完了している必要があります。正しい復号化の処理は、

Active Directory

によってアンインストールが開始された場合など、特に重要です。

また、 SafeGuard Enterprise で保護している、アクセス可能な最後のエンドポイント

から暗号化ソフトをアンインストールする前に、暗号化されたリムーバブルメディ

アすべてを復号化する必要があります。このようにしない場合、ユーザーが、以後

データにアクセスできなくなる場合があります。 SafeGuard Enterprise データベース

が存在する限り、リムーバブルメディア上のデータを復旧することができます。

SafeGuard Enterprise

■

SafeGuard フルディスク暗号化をアンインストールするには、ボリュームベースで暗号

化されているボリュームすべてに、ドライブ文字が割り当てられている必要があります。

常に、インストール済みの機能すべてを含むパッケージ全体をアンインストールするよ

うにしてください。

1. SafeGuard Management Center で、「マシンの設定」タイプのポリシーを編集します。

「アンインストールを許可する」を「はい」に指定します。

「ユーザーとコンピュータ」で、復号化するコンピュータ用のグループを作成します。

グループを作成するドメインのノードを右クリックします。「新規作成 > 新しいグルー

プを作成する」を選択します。

このグループのドメインのノードを選択し、「使用できるポリシー」リストから「ポリ

シー」タブにポリシーをドラッグしてアンインストールポリシーを適用します。「使用

できるグループ」の一覧から「有効化」ペインにグループをドラッグしてポリシーを有

効化します。ドメインノードの「ポリシー」タブで、優先度が

に設定されていること

を確認し、「上書きなし」がアクティブ化されていることを確認します。ドメインノー

ドの「有効化」ペインで、グループのメンバーのみに、このポリシーが適用されている

ことを確認します。

アンインストールを行うエンドポイントをこのグループに追加します。

アンインストールを開始するには、次のいずれか

つの方法を使用します。

■

エンドポイントでローカルアンインストールを行うには、 SafeGuard Enterprise Server

と同期をとり、アップデート版ポリシーが取得済みで、アクティブ化されているよう

にします。そして、「スタート > コントロールパネル > プログラムの追加と削除 >

Sophos SafeGuard Client > 削除」を選択します。

一元アンインストールするには、任意のソフトウェア展開ツールを使用してくださ

い。アンインストールを開始する前に、すべてのデータが完全に復号化されているこ

とを確認してください。

インストールガイド

12 テクニカルサポート

ソフォス製品のテクニカルサポートは、次のような形でご提供しております。

■

「

SophosTalk

」ユーザーフォーラム

(

英語

) ( http://community.sophos.com

)

のご利用。さ

まざまな問題に関する情報を検索できます。

■

ソフォスサポートデータベースのご利用。 www.sophos.com/ja-jp/support.aspx

製品ドキュメントのダウンロード。 www.sophos.com/ja-jp/support/documentation/

オンラインでのお問い合せ。 https://secure2.sophos.com/ja-jp/support/contact-support/support-query.aspx

SafeGuard Enterprise

13 ご利用条件

および

Sophos Group

の登録商標です。

この出版物の一部または全部を、電子的、機械的な方法、写真複写、録音、その他いかなる

形や方法においても、使用許諾契約の条項に準じてドキュメントを複製することを許可され

ている、もしくは著作権所有者からの事前の書面による許可がある場合以外、無断に複製、

復元できるシステムに保存、または送信することを禁じます。

Sophos

、

Sophos Anti-Virus

および

SafeGuard

は、

Sophos Limited

、

Sophos Group

および

Utimaco Safeware AG の登録商標です。その他記載されている会社名、製品名は、各社の

登録商標または商標です。

サードパーティコンポーネントの著作権に関する情報は、製品ディレクトリ内の「 Disclaimer and Copyright for 3rd Party Software 」 ( 英語 ) というドキュメントをご覧ください。

Ahoj! Som AI chatbot, ktorý je špeciálne vyškolený na pomoc s Sophos. Dôkladne som preskúmal dokument a môžem vám pomôcť nájsť presné informácie, ktoré potrebujete, alebo vysvetliť obsah jasne a jednoducho. Či už hľadáte rady o konkrétnych funkciách, kroky na riešenie problémov alebo všeobecné použitie, neváhajte a položte svoje otázky. Čím viac podrobností poskytnete o svojich obavách alebo potrebách, tým presnejšie a efektívnejšie vám môžem pomôcť!

Asistent píše

Asistent nie je pri klávesnici. Skúste to znova neskôr.

Zdá sa, že ste sa dostali k dokumentu, ktorý je napísaný vo viacerých jazykoch, vrátane jazyka, ktorý nie je váš rodný jazyk. Pomocou nasledujúcich odkazov môžete dočasne skryť stránky bez preferovaného jazyka.

Reklama

SafeGuard Enterprise

インストールガイド

製品バージョン : 7

ドキュメント作成日 : 2014年 12月

目次

1 SafeGuard Enterprise について

1.1 SafeGuard Enterprise コンポーネント

2 はじめに

2.1 主な作業項目

2.2 システム要件の確認

2.3 インストーラのダウンロード

2.4 言語設定

ウィザード

SafeGuard Management Center

エンドポイントにおける SafeGuard Enterprise

2.5 他のソフォス製品との互換性

2.6 全般的な制限事項

3 SafeGuard Enterprise Server の設定

3.1 前提条件

3.2 Microsoft インターネット インフォメーション サー

ビス (IIS) のインストール・設定

3.3 SafeGuard Enterprise Server のインストール

4 SafeGuard Enterprise データベースの

設定

4.1 データベースの認証

4.2 SafeGuard Enterprise データベースの生成

4.3 SafeGuard Enterprise データベースのアクセス権の

変更

4.4 SQL Services、名前付きパイプ、TCP/IP の設定の確

認

4.5 Windows Server 2008 (R2) における Windows ファ

イアウォールの規則の作成

4.6 SQL Server へのログオン用 Windows 認証の構成

5 SafeGuard Management Center の設定

5.1 前提条件

5.2 SafeGuard Management Center のインストール

5.3 SafeGuard Management Center ヘルプシステムの表

示

5.4 SafeGuard Management Center の構成

5.5 追加のデータベース構成の作成 (Multi Tenancy 用)

5.6 SafeGuard Management Center の追加インスタンス

の構成

5.7 SafeGuard Management Center へのログオン

5.8 SafeGuard Management Center における組織構成の

設定

5.9 ライセンス ファイルのインポート

5.10 破損した SafeGuard Management Center の復元

5.11 破損したデータベース設定の復元

6 通信のテスト

6.1 前提条件

6.2 接続テスト (Windows Server 2008 上の IIS 7)

7 SSL による転送接続の保護

7.1 SSL の設定

7.2 SafeGuard Enterprise での SSL 暗号化の有効化

7.3 SSL による サーバー、エンドポイント間の通信内

容の保護

8 SafeGuard Enterprise Server の登録と

設定

8.1 SafeGuard Enterprise Server の登録と構成 (同じコ

ンピュータで使用する場合 )

8.2 SafeGuard Enterprise Server の登録・構成 (別のコ

ンピュータで使用する場合 )

8.3 SafeGuard Enterprise Server のプロパティの編集

8.4 SafeGuard Enterprise Server の登録 (ソフォスのファ

イアウォールが有効になっている場合 )

9 エンドポイント上の SafeGuard

Enterprise の設定

9.1 管理型エンドポイントと非管理型エンドポイントに

ついて

9.2 制限事項

9.3 暗号化前のエンドポイントの準備作業

9.4 構成パッケージの作成

9.5 暗号化ソフトウェアのインストール

コマンドラインの構文

コマンドライン オプション

9.6 Mac 版暗号化ソフトウェアのインストール

9.7 FIPS 規格に準拠したインストール

9.8 Opal 準拠の自己暗号化ハード ドライブへのインス

トール

10 SafeGuard Enterprise データベースの

3.2 Microsoft インターネットインフォメーションサー

5.9 ライセンスファイルのインポート

7.3 SSL によるサーバー、エンドポイント間の通信内

コマンドラインオプション

9.8 Opal 準拠の自己暗号化ハードドライブへのインス

10.1 マージレプリケーション

10.2 データベースレプリケーションの設定

日本医師会 Ver. 3.0 Windows版給付管理・介護報酬請求支援ソフト, Ver. 3.0 Windows版介護報酬請求支援ソフト取扱説明書

Panasonic Windows 7 パーソナルコンピューター取扱説明書

YS Corporation PCステルスネットワーク型PC監視システム取扱説明書

夢限ソフト産直新鮮組 Professional VersionⅢ 顧客管理産直システムユーザーズマニュアル