注: 以下の翻訳の正確性は検証されていません。AIPを利用して英語版の原文から機械的に翻訳されたものです。
Agent プロキシランタイムはサンセット段階の機能であり、次のシナリオでのみ使用してください。
代わりに、すべてのソースの種類で利用可能な Agent プロキシエグレスポリシーを使用することを推奨します。
Agent ワーカーランタイムや直接接続ランタイムに加えて、Agent プロキシランタイムを使用すると、Foundry 内のサービスが、インターネット経由ではアクセスできないお使いのネットワーク内のシステムにアクセスするためのネットワーク経路を提供できます。Agent プロキシを使用すると、Foundry 内のアプリケーションは、インターネット経由でソースに接続しているかのように動作できます。また、複数の Agent を設定し、メンテナンスウィンドウを交互に設けることで、ダウンタイムを防ぐことができます。以下のガイドに沿って、Agent プロキシを設定および管理してください。
Agent プロキシランタイムは、2024年8月28日より後に作成されたすべてのエンロールメントで、デフォルトで有効になっています。2024年8月28日より前に作成されたエンロールメントを使用している場合は、情報セキュリティ責任者がまず Control Panel > Data Connection でエージェントプロキシランタイムを有効にする設定を有効にする必要があります。一度有効にすると、この設定を無効にすることはできません。
Agent プロキシを使用するには、Agent をセットアップする必要がありますが、追加の設定は不要です。特定のソースに割り当てる際の選択に応じて、同じ Agent を Agent ワーカーと Agent プロキシの両方として使用できます。
Data Connection で新しいソースを作成する際に、Agent プロキシランタイムの選択肢を選択します。現在、この選択肢は REST API ソースの種類を設定する場合にのみ利用可能です。
Agent プロキシランタイムが必要なリソースにのみアクセスできるようにするため、いくつかのセキュリティ制御を利用できます。
セキュリティ制御には、無効にできない必須のものと、デフォルトでは有効になっていない任意のものがあります。
次のセキュリティ制御の設定が利用可能です。
| セキュリティ制御 | 必須かどうか | 説明 |
|---|---|---|
| ソース設定の強制適用 | はい | Agent プロキシを経由するトラフィックは、Agent プロキシを使用するように割り当てられたソースで設定されているホスト名とポートに常に制限されます。 |
| Agent 許可リスト（Foundry） | 任意 | Foundry に保存され、トラフィックが Agent に送信される前の上流で適用される許可リストを設定できます。この制御を変更できるのは、Foundry 内の Agent リソースの所有者のみです。 |
| Agent 許可リスト（ローカルファイル） | 任意 | Agent ホストに保存される許可リストを設定できます。この許可リストは、お使いのネットワーク内で実行される Agent プロセスによって適用されます。この制御を変更するには Agent ホストへの SSH アクセスが必要であり、Agent ソフトウェアによって適用されます。 |
| Agent ホストのファイアウォール | 任意 | Agent が、到達させたいターゲットシステムとのみ通信できるように、ホストレベルのファイアウォール制御を設定することを強く推奨します。この制御は Foundry から完全に独立しており、セキュリティをさらに強化します。 |
Agent プロキシに接続する際、ソースで定義された URL 内のホスト名とポートによって、アクセス先はそのホスト名とポートのみに制限されます。それ以外のホスト名やポートへの接続を試みると、プロキシから HTTP 403（未認証）のレスポンスコードが返されます。
この制御は、接続先をソースで設定されたもののみに制限することで、コード内で接続をインポートして使用する際の不正な接続を防ぎます。
このセキュリティ制御のみを使用する場合は、特定のソースに Agent を割り当てられるユーザーが、Agent ホストから到達可能なすべてのシステムへの接続についても信頼できるユーザーであることを確認してください。
Agent が限られた IP アドレスまたは CIDR ブロックとのみ通信できるように、Foundry 内で許可リストを設定できます。これにより、Agent が割り当てられているソースにかかわらず、特定の Agent の接続先を制限できます。
これを設定するには、Agent 設定に移動し、設定の管理セクションで詳細オプションを切り替えます。YAML ファイルで、security ブロックと同じインデントレベルに agentProxyConfiguration のブロックを追加します。
Agent の接続を許可する CIDR ブロックとポートのリストを追加します。例：
Copied!1 2 3 4 5 6 7agentProxyConfiguration: allowListedCidrs: - cidrBlock: '192.168.1.1/32' port: 7000 endPort: 9000 - cidrBlock: '192.168.2.2/24' port: 443
Foundry 内の Agent 許可リストに使用するものと同じ設定を、Agent ホスト自体のファイルに設定することもできます。これにより、Foundry 内のユーザーが設定を編集できなくなります。
これを行うには、次の手順に沿って進めます。
magritte-bootvisor-<version> と同じフォルダー）に、agentProxyConfig という名前のフォルダーを作成します。agentProxyConfig フォルダー内に、agentProxyConfig.yml という名前のファイルを作成します。agentProxyConfig.yml ファイルと agentProxyConfig フォルダーは、必ず root ユーザーで作成し、Agent がこのファイルやフォルダーに書き込めないようにファイル権限を設定してください。agentProxyConfig.yml ファイルが存在していて書き込み可能な場合、または親ディレクトリのいずれかに Agent が書き込める場合、Agent は Agent プロキシ機能を実行しません。例：
Copied!1 2 3 4 5 6allowListedCidrs: - cidrBlock: '192.168.1.1/32' port: 7000 endPort: 9000 - cidrBlock: '192.168.2.2/24' port: 443
Agent ホストにファイアウォールを設定し、ネットワークトラフィックを監視して、厳密に必要な宛先のみに制限することを強く推奨します。利用可能なファイアウォールと監視のオプションは、Agent の実行に使用している Linux ディストリビューションと、組織のセキュリティのベストプラクティスによって異なります。