Auto ScaleしたインスタンスをDeep Securityで管理する

こんにちは、ひろかずです。

Auto ScaleしたインスタンスをDeep Securityで管理する需要があるようなので、一筆書きます。

#前提
- Deep Security Managerの導入が完了していること。
- ライセンスを投入していること。
- 最低でもRelayを導入しており、管理対象になっていること。
- [Deep Security Manager導入後の動作確認(Agentの導入とManagerへの追加)](http://qiita.com/fnifni/items/6f76ee87996730cee298)から流れてきた人

#参照情報
[マニュアルの349-351頁, 354-356頁](http://files.trendmicro.com/jp/ucmodule/tmds/90SP1/Deep_Security_9_SP1_Admin_Guide_r3.pdf)になります。

AWSのAutoScaleについては、インターネット上に色々書かれているので検索してみてください。

#工程
1.Deep Securityでの管理用IAMユーザーを作成(クラウドアカウントの作成)
2.Deep Security Managerへのクラウドアカウントの登録
3.AutoScaleしたインスタンスをDeep Security Managerで管理する

#1.Deep Securityでの管理用IAMユーザーを作成(クラウドアカウントの作成)
AWSコンソールのIAM画面から、左側メニューのUsersを選択
<del>*注意！　管理したいEC2が配置されているRegionであることを確認してください。*</del>
![IAM_Management_Console1.png](https://qiita-image-store.s3.amazonaws.com/0/46611/10913e71-3f6c-e014-8115-0984c1a25f1e.png "IAM_Management_Console1.png")

Create New Usersを選択
![IAM_Management_Console2.png](https://qiita-image-store.s3.amazonaws.com/0/46611/4f011582-d23f-baed-8e0f-49eb78fa9b1d.png "IAM_Management_Console2.png")

今回は、IAMユーザ名を「DSM」に設定します。
アクセスキーが必要になるので、「Generate an access key for each user」のチェックが有効であることを確認します。
![IAM_Management_Console3.png](https://qiita-image-store.s3.amazonaws.com/0/46611/a5f89898-ba5a-a6c5-68d8-84e693d6ed64.png "IAM_Management_Console3.png")

作成できたら、Access KeyとSeacret Keyを控えます。
csvファイルをダウンロードして、保存しておくといいでしょう。(再発行できません)
![IAM_Management_Console4.png](https://qiita-image-store.s3.amazonaws.com/0/46611/eeb2605c-ae41-3b02-4285-4eaf3a7c5512.png "IAM_Management_Console4.png")

Usersの一覧画面に戻って「DSM」の文字の箇所をクリックします。
少々わかりにくいですがチェックボックスはハズレです。
![IAM_Management_Console5.png](https://qiita-image-store.s3.amazonaws.com/0/46611/8c0dcf7e-ff5e-0ea6-fc76-9bca519c1804.png "IAM_Management_Console5.png")

Permissionsセクションの「Attuch User Policy」を選択します。
![IAM_Management_Console6.png](https://qiita-image-store.s3.amazonaws.com/0/46611/7e2a6455-7920-7354-3664-1bd88dd32514.png "IAM_Management_Console6.png")

「Policy Generater」を選択して、「Select」ボタンをクリック
![IAM_Management_Console7.png](https://qiita-image-store.s3.amazonaws.com/0/46611/0834e81c-646a-8981-0bf8-c4ed50ffd5f9.png "IAM_Management_Console7.png")

AWS Serviceを「Amazon EC2」に設定します。
Actionsを以下3点をチェックします。

- DescribeImages
- DescribeInstances
- DescribeTags

ARNには「*」を設定します。
以上を設定して「Add Statement」ボタンをクリック
![IAM_Management_Console8.png](https://qiita-image-store.s3.amazonaws.com/0/46611/98d0a3ea-ec78-ad01-1507-cc3ff5b4367f.png "IAM_Management_Console8.png")

以下のように表示されます。
設定内容を確認して「Next Step」ボタンをクリックします。
![IAM_Management_Console9.png](https://qiita-image-store.s3.amazonaws.com/0/46611/60280769-a3f3-1c61-727c-78ee07a8f0dd.png "IAM_Management_Console9.png")

「Apply Policy」ボタンをクリックします。
![IAM_Management_Console10.png](https://qiita-image-store.s3.amazonaws.com/0/46611/feb068ba-0991-4403-f8c9-562618091087.png "IAM_Management_Console10.png")

設定が完了すると、このように表示されます。
![IAM_Management_Console11.png](https://qiita-image-store.s3.amazonaws.com/0/46611/ecbb66a7-61ed-6555-ebdd-a0c5420f262c.png "IAM_Management_Console11.png")

#2.Deep Security Managerへのクラウドアカウントの登録
Managerコンソールを開いて「コンピュータ」→「クラウドアカウントの追加」をクリック
![クラウドアカウントの追加1.png](https://qiita-image-store.s3.amazonaws.com/0/46611/1f1e811b-c10f-8b41-e16e-80785de5196b.png "クラウドアカウントの追加1.png")

プロバイダの地域を作成したIAMユーザーが配置されているRegionに設定します。
名前欄の内容は、コンピュータグループ名になります。
アクセスキーIDと秘密アクセスキーに、作成したIAMユーザーのAccess KeyとSeacret Keyを登録します。
![クラウドアカウントの追加2.png](https://qiita-image-store.s3.amazonaws.com/0/46611/1ed6029d-86bf-f171-1760-b166f2a5ce9d.png "クラウドアカウントの追加2.png")

概要情報が表示されます。
「完了」ボタンをクリックします。
![クラウドアカウントの追加3.png](https://qiita-image-store.s3.amazonaws.com/0/46611/d55d7f97-d526-74b4-4126-f594d2c38b46.png "クラウドアカウントの追加3.png")

設定内容が正しければ、このように表示されます。
![クラウドアカウントの追加4.png](https://qiita-image-store.s3.amazonaws.com/0/46611/85380774-307a-5be8-a9a6-3872257f1653.png "クラウドアカウントの追加4.png")

コンピュータ画面を表示すると、当該Region上のEC2がコンピュータグループ「Amazon」配下に登録されています。
![クラウドアカウントの追加5.png](https://qiita-image-store.s3.amazonaws.com/0/46611/33946fc8-0d30-78f1-576e-bcea01709d45.png "クラウドアカウントの追加5.png")

#3.AutoScaleしたインスタンスをDeep Security Managerで管理する
ここでざっと、AutoScaleしたインスタンスが、Manager登録されるまでの流れを記します。

1. ManagerにAgentからの登録を許可する設定をしておきます。
2. AutoScaleで作成されたインスタンスは、cloud-initにてManagerのポート4119からAgentをダウンロードし、自分自身にAgentをインストールします。
3. AutoScaleで作成されたインスタンスは、cloud-initにてManagerのポート4120にアクセスして、自分自身を登録しに行きます。

それでは、作業をしていきましょう。
Managerは、Security Groupにて、Agentからの通信ポート4119, 4120を開けておく必要があります。

次に、ManagerにAgentからの登録を許可する設定を施します。
Managerの「管理」→「システム設定」→「Agent」を選択します。
「Agentからのリモート有効化を許可」にチェックを入れます。
![自動化有効化1.jpg](https://qiita-image-store.s3.amazonaws.com/0/46611/8289d994-5edb-baf4-6b67-7d4f6ceeb50a.jpeg "自動化有効化1.jpg")


画面右上の「ヘルプ」から「インストールスクリプト」を選択します。
![自動有効化2.jpg](https://qiita-image-store.s3.amazonaws.com/0/46611/d7e2c763-eb51-74b7-a65b-71cfb5d7dd84.jpeg "自動有効化2.jpg")

インストール対象として「Agent(推奨)」を選択し、「追加ソフトウェアのインポート」のリンクを選択します。
![自動有効化3.png](https://qiita-image-store.s3.amazonaws.com/0/46611/6622d3f3-4553-0d3b-7e94-715e6e99b6fd.png "自動有効化3.png")

AutoScaleするインスタンスに導入するAgentのインストールモジュールを設定します。
モジュールが手元にない場合は、「トレンドマイクロのダウンロードセンター」リンクからDeep Security Agentのインストールモジュールをダウンロードして設定します。
今回は、Amazon Linuxのインストールモジュールを使用します。
![自動有効化5.jpg](https://qiita-image-store.s3.amazonaws.com/0/46611/ef8027f4-bc36-f023-0b3e-b3052970545f.jpeg "自動有効化5.jpg")

完了をクリックします。
![自動有効化6.jpg](https://qiita-image-store.s3.amazonaws.com/0/46611/46dfb320-14fc-9d2a-fd5e-149a9c0064ee.jpeg "自動有効化6.jpg")

インストールモジュールのインポートが終わったら、「プラットフォーム」にAmazon Linuxが追加されているので、設定します。
「Agentを自動的に有効化」にチェックを入れるとインストールスクリプトが生成されますので、コピーしておきます。
![自動有効化7.jpg](https://qiita-image-store.s3.amazonaws.com/0/46611/18b13758-8e12-f595-1278-b6f9688ceed3.jpeg "自動有効化7.jpg")

AutoScaleの設定を簡単に記します。
AWSコンソールのEC2画面から、「Launch Configrations」を選択し、「Create launch configuration」ボタンをクリックします。
![AutoScale1.jpg](https://qiita-image-store.s3.amazonaws.com/0/46611/a4341f8b-35db-03b9-569d-2fbf4e802d96.jpeg "AutoScale1.jpg")

Auto Scaleの元になるAMIを選択します。
当該AMIにはDeep Security Agentが導入されていないものを選択してください。
![AutoScale2.jpg](https://qiita-image-store.s3.amazonaws.com/0/46611/ef8a144e-f9eb-e432-49a6-27f246235a69.jpeg "AutoScale2.jpg")

必要に応じたインスタンスサイズを選択します。
Agentは、メモリを512MBを要求するので、適切なインスタンスタイプを選択します。
[Trend Micro Deep Security 9.0 SP1 システム要件](http://www.trendmicro.co.jp/jp/business/products/tmds/#requirement)
![AutoScale3.jpg](https://qiita-image-store.s3.amazonaws.com/0/46611/71c85e57-209e-2246-0157-d95e127c8c6f.jpeg "AutoScale3.jpg")

Launch Configration名を指定して、Advanced Detailsセクション内の「User Data」欄に先ほどコピーしたスクリプトを貼り付けます。
![AutoScale4.jpg](https://qiita-image-store.s3.amazonaws.com/0/46611/8dcc0eff-1dc1-c9b9-dba9-37786147e75a.jpeg "AutoScale4.jpg")

あとは、適宜設定を進めます。
設定が完了したら、AutoScaleで作成されたインスタンスがDeep Security Managerに登録されます。
![AutoScale5.jpg](https://qiita-image-store.s3.amazonaws.com/0/46611/7e44a363-8b90-0c20-8c6b-08f4a50b75b8.jpeg "AutoScale5.jpg")

スケールアウトしてみます。
![AutoScale6.jpg](https://qiita-image-store.s3.amazonaws.com/0/46611/421da531-4975-e83e-8207-2c24aea58a96.jpeg "AutoScale6.jpg")

Managerに追加登録されますね。
![AutoScale7.jpg](https://qiita-image-store.s3.amazonaws.com/0/46611/d2edff9c-bfbd-de0d-716e-1d3ef9b8e198.jpeg "AutoScale7.jpg")

スケールインしてみます。
![AutoScale8.jpg](https://qiita-image-store.s3.amazonaws.com/0/46611/b1ce37a8-3df8-bb37-39ed-cfc1dbc247f0.jpeg "AutoScale8.jpg")

Managerから削除されました。
![AutoScale9.jpg](https://qiita-image-store.s3.amazonaws.com/0/46611/a3e204a2-b1ec-5445-5fc0-f223a1a4da36.jpeg "AutoScale9.jpg")

お疲れ様でした。
※侵入防御ルール等の自動登録については、後日補足します。

2014/09/17追記：[Auto Scaleしたインスタンスに侵入防御ルールを適用する](http://qiita.com/fnifni/items/ca3a1ed81a2c5bb33ef3)に記載しました。