Kaspersky Security Center のリモートインストールタスクを使用した強制的な導入

ネットワークエージェントやその他のアプリケーションの初期導入を実行するには、各デバイスにローカル管理者権限を持つユーザーアカウントがあることを前提として、Kaspersky Security Center のリモートインストールタスクを使用して、選択したインストールパッケージを強制的にインストールできます。

管理サーバーがデバイスに直接アクセスできない場合は、強制インストールを適用することもできます。たとえば、デバイスが分離されたネットワーク上に配置されている場合や、管理サーバーが DMZ にあり、デバイスがローカルネットワーク上に配置されている場合が考えられます。

初期導入の場合、ネットワークエージェントはインストールされません。そのため、リモートインストールタスクの設定では、ネットワークエージェントを使用してアプリケーションのインストールに必要なファイルの配布を選択することはできません。管理サーバーまたはディストリビューションポイントを介してオペレーティングシステムリソースを使用してファイルを配布することのみを選択できます。

管理サーバーサービスは、ターゲットデバイスに対する管理者権限を持つアカウントで実行する必要があります。または、リモートインストールタスクの設定で、admin$ 共有にアクセスできるアカウントを指定することもできます。

既定では、リモートインストールタスクは、管理サーバーが実行されているアカウントの資格情報を使用してデバイスに接続します。これは、リモートインストールタスクが実行されるアカウントではなく、admin$ 共有にアクセスするために使用されるアカウントであることを明確にすることが重要です。インストールは LocalSystem アカウントで実行されます。

対象デバイスを指定する方法として、明示的に指定する（リストを使用）、対象デバイスが属する Kaspersky Security Center の管理グループを選択する、または特定の基準に基づいてデバイスの抽出内容を作成するのいずれかを使用できます。インストールの開始時刻は、タスクのスケジュールによって定義されます。タスクのプロパティで［未実行のタスクを実行する］設定をオンにすると、対象デバイスの電源をオンにした直後または対象デバイスを対象管理グループに移動した際に、タスクを実行できます。

強制インストールは、インストールパッケージの対象デバイスへの送信、その後の各対象デバイスの admin$ リソースへのファイルコピー、これらのデバイス上でのサポートデバイスのリモート登録で構成されます。インストールパッケージの対象デバイスへの送信は、ネットワーク対話を保証する Kaspersky Security Center 機能を介して実施されます。この場合、次の条件を満たしている必要があります：

対象デバイスには、管理サーバー側またはディストリビューションポイント側からアクセスできます。
ネットワーク上で、対象デバイスの名前解決が正常に機能しています。
対象デバイスで、管理共有（admin$）が有効のままである。
対象デバイスでは次のシステムサービスが実行されています：
- サーバー（LanmanServer）
  既定では、このサービスは実行されています。
- DCOM サーバープロセスランチャー（DcomLaunch）
- RPC エンドポイントマッパー（RpcEptMapper）
- リモートプロシージャコール（RpcSs）
Windows ツールを介したリモートアクセスを可能にするために、対象デバイスでポート TCP 445 が開かれます。
TCP 139、UDP 137、および UDP 138 は古いプロトコルで使用されており、現在のアプリケーションには必要ありません。
管理サーバーおよびディストリビューションポイントから対象デバイスへの接続には、ファイアウォールで動的な送信アクセスポートを許可する必要があります。
ネットワークエージェントを導入する時、Active Directory ドメインポリシーのセキュリティ設定により、NTLM プロトコルの動作が可能になります。
Microsoft Windows XP を実行している対象デバイスで、シンプルファイル共有モードが無効になっている。
対象デバイスでは、アクセス共有とセキュリティモデルは「クラシック – ローカルユーザーはローカルユーザー自身として認証」に設定されます。決して「ゲストのみ – ローカルユーザーはゲストとして認証」に設定できません。
対象デバイスをドメインに属させるか、または管理者権限を付与された統一アカウントを対象デバイスで前もって作成する。

Windows Server 2003 以降の Active Directory ドメインに参加していないデバイスにネットワークエージェントまたはその他のアプリケーションを正常に展開するには、そのデバイスでリモート UAC を無効にする必要があります。リモート UAC は、ネットワークエージェントやその他のアプリケーションの強制導入に必要な admin$ にローカル管理アカウントがアクセスできない原因の 1 つです。リモート UAC を無効にしても、ローカル UAC には影響しません。

まだいずれの Kaspersky Security Center の管理グループにも割り当てられていない新しいデバイスへのインストール時には、リモートインストールタスクのプロパティを開き、ネットワークエージェントのインストール後にデバイスの移動先の管理グループを指定できます。

グループタスクの作成時には、選択したグループ内のネストされたすべてのグループにあるすべてのデバイスに対して、各グループタスクが影響を与えることに注意してください。このため、サブグループ内でインストールタスクが重複しないようにする必要があります。

アプリケーションを強制インストールするためのタスクを作成する簡単な方法は、自動インストールです。この処理を実行するには、管理グループのプロパティを開いてから、インストールパッケージのリストを開き、このグループのデバイスにインストールする必要があるパッケージを選択しなければなりません。そうすると、このグループとそのすべてのサブグループ内にあるすべてのデバイスに、選択したインストールパッケージが自動的にインストールされます。パッケージのインストールに要する時間は、ネットワークのスループットとネットワーク接続されているデバイスの合計数に応じて異なります。

インストールパッケージを対象デバイスに配信する際に管理サーバーの負荷を軽減するには、インストールタスクでディストリビューションポイント経由のインストールを選択できます。ただし、このインストール方法では、ディストリビューションポイントとして動作しているデバイスの負荷が大幅に増大するのでご注意ください。したがって、ディストリビューションポイントの要件を満たすデバイスを選択することを推奨します。ディストリビューションポイントを使用する場合は、対象デバイスをホストする分離された各サブネットにディストリビューションポイントが存在することを確認する必要があります。

小容量チャネルを介して管理サーバーと通信するサブネット内のデバイスへのインストールを実行する際に、同じサブネット内のデバイス間で大容量チャネルが使用できる場合は、ディストリビューションポイントをローカルインストールのセンターとして使用することも役に立ちます。

%ALLUSERSPROFILE%\Application Data\KasperskyLab\adminkit フォルダーのパーティションの空きディスク容量は、インストールされたアプリケーションの配布パッケージの合計サイズより何倍も大きな容量にする必要があります。

ページのトップに戻る