.NETエージェント構成の認証情報の暗号化

Related pages:

デフォルトで、AppDynamics .NET エージェントは次のログイン情報を config.xml に保存します。

コントローラアカウント認証
プロキシサーバ認証

セキュリティポリシーがディスクに保存されたログイン情報を保護するよう要求する環境では、.NET エージェントのログイン情報を暗号化する無人インストールを実行し、Windows 資格情報マネージャーに書き込むことができます。

Windows 資格情報マネージャーを使用して .NET Agentのログイン情報を保存すると、AppDynamics エージェント構成ユーティリティがサポートしていないスキーマを使用するように config.xml ファイルが更新されます。この手順に従う場合、構成ユーティリティを使用した後に構成の変更を行うことはできません。Windows 資格情報マネージャにログイン情報を保存したサーバ上で構成ユーティリティを起動すると、ユーティリティは構成を削除するよう促すプロンプトを表示します。

要件

LocalSystem アカウントで AppDynamics.Agent.Coordinator サービスを実行する。
インストール後にログイン情報を変更するには、Windows Sysinternals が必要。

セットアップ構成ファイル

無人インストールを実行するには、セットアップ構成ファイルを生成する必要があります。「.NETの無人インストール」の「セットアップ構成ファイルのプロパティ」を参照してください。

新規インストール

新規インストールの場合、セットアップ構成ファイルを作成するには、次のいずれかの方法を使用します。

コマンドラインから AppDynamics エージェント構成ユーティリティを実行。-s パラメータを使用して、セットアップ構成ファイルの宛先を指定。このオプションの場合は、構成ユーティリティを実行する前に .NET エージェント MSI インストーラパッケージを 1 台のマシンで実行する必要があります。
```
%ProgramFiles%\AppDynamics\AppDynamics .NET Agent\AppDynamics.Agent.Winston.exe -s <path to setup configuration file>
```
サンプルテンプレートからセットアップ構成ファイルを手動で作成。

セットアップ構成ファイルからプレーンテキスト認証エレメントを削除します。無人インストールコマンドの一部として認証情報を伝えます。

コントローラアカウント要素：
<account name="myaccount" password="myaccesskey"/>
プロキシ認証要素：プロキシ認証を使用している場合は、セットアップ構成ファイルで次の形式を使用してください。
```
<proxy host="myproxy.example.com" port="3128" enabled="true">   
   <authentication enabled="true" domain="mydomain.com"/>  
</proxy>
```

アップグレード

ご使用のアップグレードが「Windows 用 .NET エージェントのアップグレード」のインプレースアップグレード基準を満たしている場合、.NET エージェントのログイン情報を暗号化すると同時にエージェントをアップグレードできます。

既存の config.xml ファイルから AppDynamics エージェントエレメントをセットアップ構成ファイルにコピーします。セットアップ構成ファイルからプレーンテキスト認証エレメントを削除します。無人インストールコマンドの一部として認証情報を伝えます。

コントローラアカウント要素：
<account name="mycontroller.saas.appdynamics.com" password="myaccesskey"/>
プロキシ認証エレメント：
<authentication enabled="true" user_name="my_proxy_user" password="password" domain="my_windows_domain"/>

セットアップ構成ファイルのサンプル

次の例は、2 つの IIS アプリケーション（MainBC および SampleHTTPService）、Windows サービス（BasicWindowsService）、スタンドアロンアプリケーション（MyStandaloneApp.exe）をインストゥルメント化するセットアップ構成ファイルを示しています。

<winston>
  <logFileDirectory directory="C:\ProgramData\AppDynamics\DotNetAgent\Logs"/>
  <logFileFolderAccessPermissions defaultAccountsEnabled="false">
    <account name="NT AUTHORITY\LOCAL SERVICE" displayName="LOCAL SERVICE"/>
    <account name="NT AUTHORITY\SYSTEM" displayName="SYSTEM"/>
    <account name="NT AUTHORITY\NETWORK SERVICE" displayName="NETWORK SERVICE"/>
    <account name="IIS_IUSRS" displayName="ApplicationPool Identity"/>
  </logFileFolderAccessPermissions>
  <appdynamics-agent xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns:xsd="http://www.w3.org/2001/XMLSchema">
    <controller host="mycontroller.appdyanmics.com" port="443" ssl="true">
      <application name="My Business Application"/>
    </controller>
    <machine-agent/>

    <app-agents>
      <IIS>
        <applications>
          <application path="/" site="MainBC">
            <tier name="Main Site"/>
          </application>
          <application path="/" site="SampleHTTPService">
            <tier name="HTTP Services"/>
          </application>
        </applications>
      </IIS>
      <standalone-applications>
         <standalone-application name="BasicWindowsService" args="-x">
            <tier name="Windows Service Tier"/>
         </standalone-application>
         <standalone-application executable="MyStandaloneApp.exe">
            <tier name="Standalone App"/>
         </standalone-application>
      </standalone-applications>
    </app-agents>

  </appdynamics-agent>
</winston>

コマンドラインからのインストール

コマンドラインから.NETエージェントをインストールするには

AppDynamics ダウンロードセンターから .NET エージェント MSI インストーラパッケージをダウンロード。
完全な管理者権限で、高度なコマンドプロンプトを起動。「管理者としてコマンドプロンプトを起動」を参照してください。

管理者グループのメンバーとしてWindowsにログインしても、インストーラーを実行するための十分な権限が付与されません。
IIS を停止し、アップグレード中の場合はインストゥルメント化された Windows サービスとスタンドアロンアプリケーションを停止。

次のコマンドを実行し、暗号化されたログイン情報でエージェントをインストール。説明についてはコマンドラインオプションを参照してください。

msiexec /i <path_to_MSI_installer_package> /l log.txt /q AD_SETUPFILE=<path_to_setup_configuration_file> AD_SECURED_CREDENTIALS=true AD_CONTROLLER_ACCOUNT_NAME=<SaaS or multi-tenant account> AD_CONTROLLER_ACCOUNT_ACCESS_KEY=<access key> AD_PROXY_USERNAME=<proxy user name> AD_PROXY_PASSWORD=<proxy password>

次に例を示します。

msiexec /i "%USERPROFILE%\Downloads\dotNetAgentSetup.msi" /l log.txt /q AD_SETUPFILE="%USERPROFILE%\Documents\SetupConfig.xml" AD_SECURED_CREDENTIALS=true AD_CONTROLLER_ACCOUNT_NAME=MyAppDynamicsAccount AD_CONTROLLER_ACCOUNT_ACCESS_KEY=changeme AD_PROXY_USERNAME=MyProxyUser AD_PROXY_PASSWORD=ProxyPass

MSI インストーラパッケージによって .NET エージェントがインストールされ、ログイン情報が暗号化され、Windows 資格情報ストアに書き込まれます。コントローラのセキュア属性が config.xml ファイルのコントローラエレメントに追加され、その値は true に設定されます。

<controller host="mycontroller.appdyanmics.com" port="443" ssl="true" secure="true">

IISを起動。インストゥルメント化されたWindowsサービスとスタンドアロンアプリケーションを起動または再起動。

Windows認証マネージャーでの認証情報の更新

.NET エージェントには認証ツールが含まれるので、Windows 資格情報マネージャに保存された認証情報を修正できます。ローカルシステムアカウントでログイン情報を変更するには、PsExec を使用して、コマンドプロンプトを起動する必要があります。

まだ Windows Sysinternals をダウンロードおよびインストールしていない場合は、実行。
PsExec を使用し、ローカルシステムアカウントとしてコマンドプロンプトを起動。
```
psexec -i -s cmd.exe
```

認証ツールを実行し、更新された認証情報を伝える。

"%programfiles%\AppDynamics\AppDynamics .NET Agent\AppDynamics.CredentialsTool.exe" AD_CONTROLLER_ACCOUNT_NAME=<SaaS or multi-tenant account> AD_CONTROLLER_ACCOUNT_ACCESS_KEY=<access key> AD_PROXY_USERNAME=<proxy user name> AD_PROXY_PASSWORD=<proxy password>

コマンドラインのオプション

AD_SECURED_CREDENTIALS：true に設定して Windows 資格情報ストアにログイン情報を暗号化し、エージェントを構成して暗号化されたログイン情報を使用。
AD_CONTROLLER_ACCOUNT_NAME：SaaS またはマルチテナントコントローラのアカウント名。
AD_CONTROLLER_ACCOUNT_ACCESS_KEY：SaaS またはマルチテナントコントローラのアカウントアクセスキー。
AD_PROXY_USERNAME：プロキシサーバユーザアカウント。
AD_PROXY_PASSWORD：プロキシサーバユーザアカウントのパスワード。