導入編／事前準備と初期確認

ネットワーク要件と通信の許可設定

NinjaOneのAgentが管理基盤と通信するための要件を説明します。アウトバウンドのみで完結する仕組み、許可が必要な宛先、プロキシー環境での設定、通信確認の手順を解説します。

Agentが管理基盤と通信するための要件を説明します。ここを整えておかないと、Agentをインストールしてもデバイスが一覧に現れません。導入作業で最もつまずきやすい箇所なので、Agent展開の前に済ませてください。

通信の仕組み

NinjaOneの通信はアウトバウンドのみで完結します。この一点を理解しておくと、以降の設定が何のためのものかが分かります。

Agentは自分から管理基盤へ接続を開始し、その経路を維持します。管理コンソールで実行した操作は、Agentが確立したこの経路を通ってデバイスに届きます。管理基盤の側からデバイスへ接続しにいくことはありません。

この方式には実務上の利点が3つあります。

「拠点に行けなくても管理できる」というNinjaOneの特性は、この通信方式によるものです。

通信はHTTPSを使います。したがって、多くの環境では追加の設定なしで動作します。

問題になるのは、宛先を絞り込んでいる環境です。この場合は管理基盤の宛先を許可リストに追加する必要があります。

宛先はテナントが載っているインスタンスによって異なります。自分のインスタンスは、管理コンソールにログインしたときのURLで確認できます。

【注意】宛先を絞り込みすぎるとAgentが接続できなくなりますが、管理コンソール上は「オフライン」としか見えないため、原因の特定に時間がかかります。まず広めに許可して疎通を確認し、動作を確認してから絞り込む順序をおすすめします。

許可すべき宛先の具体的な一覧は、インスタンスと契約しているモジュールによって変わります。公式ドキュメントの最新版を確認してください。ワイルドカードでの許可が認められるかどうかは、社内のセキュリティー方針によります。

プロキシー経由でインターネットに接続する環境では、追加の確認が必要です。

環境	確認する点
認証なしプロキシー	システムのプロキシー設定が参照されるか
認証ありプロキシー	Agentが動作するアカウントで認証が通るか
PACファイルによる自動設定	Agentの動作アカウントでPACが解決できるか
SSLインスペクション	管理基盤への通信を検査対象から除外する必要があるか

特に注意が必要なのはSSLインスペクションです。通信の中身を検査する構成では、証明書が差し替わることでAgentが接続を拒否する場合があります。この場合、管理基盤への通信を検査の除外対象に加えてください。

Agentはシステムアカウントで動作します。ログインユーザーのプロキシー設定が効かない構成では、別途の指定が必要になることがあります。

通信が許可されていても、デバイス側のセキュリティー製品がAgentの動作を妨げることがあります。

除外設定に加えておきたいのは次の3つです。

スクリプト実行機能を使う場合は特に重要です。管理ツールがスクリプトを実行してレジストリーやサービスを操作する動作は、アンチウイルスから見ると不審な挙動と区別がつきません。誤検知でスクリプトが止められると、原因が分かりにくい障害になります。

Agentをインストールしたら、次の順で確認してください。

表示されない場合の切り分けは次の通りです。

症状	確認する箇所
一覧にまったく表示されない	宛先の許可設定。まず広めに許可して再確認する
表示されるがすぐOfflineになる	通信の維持を妨げる機器がないか。アイドル接続を切る設定に注意
特定拠点だけ表示されない	その拠点のファイアウォールとプロキシー設定
一部のデバイスだけ表示されない	デバイス側のセキュリティー製品の除外設定

【運用のポイント】本格展開の前に、各拠点で1台ずつ検証してください。拠点ごとにネットワーク機器の構成が違うことは珍しくありません。全台展開してから拠点単位で通信できないことが分かると、切り分けの手間が大きく増えます。