Drata Agentは、社員の端末に入れて、ディスクの暗号化や画面ロックなどの設定を毎日Drataに送るアプリです。MDMを使わない場合や、MDMで管理していない端末がある場合は、Drata Agentで端末の状態を集めます。このページでは、Drata Agentを社員の端末に配布する方法として、対応するOS、社員によるインストールと登録の手順、自動更新と同期の仕組み、エージェントが集める情報と集めない情報の社員への説明を説明します。
Drata Agentの仕組み
Drata Agentは、端末のシステムの設定を読み取るだけの、軽量なアプリです。読み取った設定から、Drataが求めるセキュリティーの設定が有効になっているかを確かめます。
| 項目 | 内容 |
|---|---|
| 確かめる設定 | ディスクの暗号化、画面ロック、ウイルス対策のソフトウェア、パスワードマネージャー、OSの自動更新 |
| 実行の頻度 | 毎日。インストールした後は、バックグラウンドで自動的に動く |
| 権限 | 読み取り専用。端末の設定やファイルを変えない |
| 作り | ElectronJSで作られ、オープンソースのosqueryで端末の情報を読み取る |
| ソースコード | 2023年6月16日からオープンソースになっている。必要に応じて、Drata Agentのリポジトリーでコードを確かめ、独自のセキュリティーの評価ができる |
Drata Agentを使うかどうかは、Settings → Personnel complianceのInternal SecurityタブにあるWorkstation configuration monitoringで、Automated via Drata Agentを選んで決めます。MDMと組み合わせる場合の考え方は、MDMとセキュリティー製品との連携とMDMで端末の状態を集めるで説明しています。
対応するOS
Drata Agentは、主なOSの最新の安定版に対応しています。
| OS | 対応する版 |
|---|---|
| macOS | macOS 26（Tahoe）とmacOS 15（Sequoia）。これらの版では、Drata Agentの3.9.0以降が必要 |
| Windows | Microsoftが保守している、最新の2つの安定版 |
| Linux | 長期サポート（LTS）の版があるディストリビューション。LTSでない短期の版（例えばUbuntu 25.10）には対応しない |
Ubuntuでは、次の点に注意します。
- 対応するのは、Debian系のUbuntu 22.04と24.04です。
- ディスクの暗号化は、Drata Agentでは確かめられないため、証跡を手作業でアップロードします。社員がMy Drataでアップロードするか、管理者が
Personnelページで要員の記録にアップロードします。 - 端末にアプリをインストールできる必要があります。
- Ubuntu 24.04 LTSでは、既定でAppArmorが有効になっています。
スマートフォンとタブレットには対応していません。Drata Agentの対象は、ノートPCとデスクトップPCです。
社員がインストールして登録する
Drata Agentのインストールは、入社時の作業の1つとして、社員がMy Drataで行います。
- Drataにサインインし、
My Drataのページを開きます。 Install the Drata Agentの作業を開きます。Download Drata Agentから、自分の端末に合ったインストーラーを選んでダウンロードします。- ダウンロードしたファイルを開き、画面の案内に沿ってインストールします。
- Drataに戻り、
Register Drata Agentを選びます。 - 届いたメールを開き、
Verify Drata Agentを選びます。
My DrataでDrata Agentの作業を開いた画面。インストーラーをダウンロードしてインストールし、エージェントを登録する
確認が済むと、Drata Agentはバックグラウンドで自動的に動き、端末のセキュリティーの状態を送り始めます。
複数の端末を使う社員
1人で複数の端末を使う場合は、使う端末ごとにDrata Agentをインストールして登録します。登録した端末は1台ずつDrataに表示され、それぞれの端末が個別に評価されます。
| 対応する | 対応しない |
|---|---|
| 1人で複数のノートPCやデスクトップPCを使う場合。1台の端末の担当者が1人の場合 | 複数の人が使う共用の端末やキオスク端末。1台の端末の担当を複数の人で分け合う場合 |
1台の端末の担当者は、常に1人です。担当者が変わったときは、可能な範囲でDrataが自動的に担当を更新します。
インストールの作業がMy Drataに表示されない場合
Workstation configuration monitoringでAutomated via Drata Agentを外している場合、My DrataにはDrata Agentのインストールの作業が表示されません。それでも一部の社員にDrata Agentを入れてもらう必要があるときは、次のリンクを管理者から社員に直接伝えます。
https://app.drata.com/employee/install-agent
このリンクは、Drataの通常の画面からはたどれません。社員はDrataにサインインした状態でリンクを開き、Download Drata Agentでダウンロードしてから、エージェントを登録します。
自動更新と同期
自動更新
Drata Agentは、自動で必要な最新の版に更新されます。更新は必須で、更新のときに社員に許可を求めることがあります。Ubuntuでも、Drata Agentの3.6以降は自動で最新の版に更新されます。
同期の時期
Drata Agentは、1日1回、端末の情報をDrataに送ります。同期は次のときに自動で行われ、時期は変えられません。
- 端末の電源が切れていた場合は、その後に最初にネットワークにつながったとき
- 最後に同期に成功してから24時間後
社員が設定を直しても、Drataの表示はすぐには変わりません。すぐに確かめたいときは、社員がDrata Agentのメニューから同期をやり直せます。手順は、端末の確認項目と是正で説明します。
通信の許可
Drata Agentは、agent.drata.comとgithub.comにアクセスできる必要があります。会社のファイアウォールやプロキシーで通信を制限している場合は、これらへのアクセスを許可します。また、会社のウイルス対策のソフトウェアで、Drata Agent（drata-agent）が止められないように許可しておきます。
社員に説明しておくこと
Drata Agentを配布する前に、エージェントが何をして、何をしないかを社員に伝えておくと、インストールへの不安を減らせます。ヘルプセンターの記事に基づくと、次のように説明できます。
| エージェントがすること | エージェントがしないこと |
|---|---|
| コンプライアンスの確認に必要な、端末のシステムの設定を読み取る | 端末のシステムの設定を変える |
| インストールした後は、毎日自動で動く | 端末のファイルやフォルダーを変える |
| ウイルス対策のソフトウェアとパスワードマネージャーを見つけるために、端末のアプリの一覧と、Chrome、Firefox、Internet Explorerのブラウザーの拡張機能の一覧を読み取る | 個人の行動や個人のファイルを監視する |
| 資産の管理のために、端末のOSとシリアル番号を読み取る | ― |
社員から問い合わせを受けたときの答え方は、My Drataで社員が行うことで説明します。
【運用のポイント】 社員への案内では、エージェントが読み取り専用であることと、個人の行動やファイルを監視しないことを、最初に伝えておきます。ソースコードが公開されているため、社内のセキュリティーの担当者が事前にコードを確かめることもできます。