Policyを実際に作成し、デバイスに適用します。設計の考え方はPolicyとは：設計の考え方で決めておいてください。ここでは作成手順と、変更が反映されるまでの流れを扱います。
Policyの一覧と作成
PolicyはAdministrationのPoliciesで管理します。
Policiesは対象別に分かれる。一覧にはDevice class、Overrides、Devices、Organizationsの各列が並ぶPoliciesの下は4つに分かれます。
| 区分 | 対象 |
|---|---|
Agent policies | Agentを導入したデバイス |
NMS policies | ネットワーク機器 |
VM policies | 仮想化基盤 |
MDM policies | モバイルデバイス |
一覧ではDevice class（対象の種別）、Overrides（デバイス単位の上書き数）、Devices（適用台数）、Organizations（適用組織数）が確認できます。
Defaultの表示があるPolicyは、新規登録デバイスに自動で適用されるものです。
Policy名はInternal | Windows | Crowdstrikeのように、親から子への継承関係が縦棒で区切って表示されます。名前を見るだけで階層が分かる形式です。
新規作成はCreate New Policyから行います。画面上部の+からPolicyを選んでも作成できます。
作成時に指定するのは次の3点です。
| 項目 | 指定する内容 |
|---|---|
| 名前 | 用途が分かる名前。設計で決めた命名規則に従う |
Device class | Windows Desktops and Laptops、Windows Server、Mac Desktops and Laptops、Mac Server、Linux Workstation、Linux Serverなど |
| 継承元 | Parent Policyを指定する場合に選ぶ |
Device classは後から変更できません。作成時に間違えると作り直しになります。
クライアントとサーバーが別のDevice classとして扱われる点に注意してください。同じWindowsでも、デスクトップ用のPolicyをサーバーに適用することはできません。この仕様が、P31で説明したPolicyの分割と自然に対応します。
既存のPolicyを複製して作る方法もあります。似た設定のPolicyを作る場合は、ゼロから組むより複製した方が設定漏れを防げます。
各セクションの設定項目
Policyの編集画面は、機能ごとのセクションに分かれています。
| セクション | 主な設定内容 |
|---|---|
Conditions | 監視条件としきい値、検知時の動作 |
Compound Conditions | 複数条件を組み合わせた監視 |
Scheduled Automations | 定期実行するスクリプトと処理 |
Windows Patching / macOS Patching | パッチのスキャンと適用のスケジュール |
Antivirus | アンチウイルス製品との連携 |
Activities | 記録する操作の設定 |
Software | ソフトウェアの管理 |
Backup | バックアップの対象とスケジュール |
Warranty Tracking | 保証情報の追跡 |
パッチのセクション名は対象OSによって変わります。契約しているモジュールによって表示されるセクションも変わります。
最初から全てのセクションを設定する必要はありません。まずConditionsとPatchingを固め、運用を始めてから他を追加していく進め方をおすすめします。
デバイスへの割り当て
作成しただけでは、どのデバイスにも適用されません。割り当ての作業が必要です。
割り当てはOrganizationまたはLocationの設定画面から行い、Device Roleごとに指定します。「このOrganizationのWindows Serverにはこのポリシー」という形です。
手順はOrganizationとLocationの設計・作成を参照してください。
Organization単位のデフォルト設定
Organizationにデフォルトを設定しておくと、そのOrganizationに登録される新しいデバイスへ自動で適用されます。
これを設定していないと、デバイスを登録するたびに手動でPolicyを割り当てることになります。展開作業に入る前に必ず設定してください。
【注意】 デフォルトが未設定のまま大量展開すると、Policyが当たっていないデバイスが大量に発生します。この状態のデバイスは監視されていませんが、一覧上は正常に見えます。展開後は必ずPolicy列で並べ替えて、未割り当てがないか確認してください。
変更が反映されるタイミング
Policyを変更すると、該当する全デバイスに反映されます。反映は即時ではなく、Agentが次に管理基盤と同期したときに行われます。
確認する際は次の点に注意してください。
| 状況 | 反映の挙動 |
|---|---|
| Onlineのデバイス | 数分以内に反映される |
| Offlineのデバイス | 次に接続したときに反映される |
| メンテナンスモードのデバイス | 設定によっては反映が保留される |
変更直後にデバイス側の挙動が変わらなくても、しばらく待ってから確認してください。
変更前に確認すること
Policyの変更は影響範囲が大きい操作です。実行前に次を確認してください。
- そのPolicyが適用されているデバイスの台数
- 変更する項目が、再起動やサービス停止を伴わないか
- 検証環境で確認済みか
1番目はデバイス一覧をPolicyで絞り込めば分かります。想定より多い台数に当たっていることに気付く場合があります。
【運用のポイント】 本番のPolicyを直接変更する前に、検証用の子Policyで確認する運用を推奨します。検証機を数台だけその子Policyに割り当てておけば、影響を限定して確認できます。
変更の記録
誰がいつPolicyを変更したかは、記録に残しておいてください。監視が効かなくなったとき、原因がPolicyの変更かどうかを最初に確認することになります。
変更内容を社内の変更管理台帳に残す運用にすると、切り分けが速くなります。