自動ポリシー割り当ての構成

自動ポリシー割り当て (APA) は、構成可能なルールに基づいてポリシーを管理し、環境内のデバイスに自動的に割り当てます。詳細については、「よくある質問 (FAQ)」セクションをご参照ください。

自動ポリシー割り当ての構成では、以下のことを行います。

割り当てルールの設定
既存のポリシー割り当ての移行 (オプション)
手動ポリシー割り当てとデバイス例外
デバイス例外の構成
デバイスグループ例外の構成
構成を今すぐ配布 (オプション)
エージェントへの配布
エージェントポリシーの再割り当て (オプション)
例外の削除

APA を構成する前に、Ivanti Neurons でデバイスグループを設定し、以下のことを確認します。

デバイスとデバイスグループは、Neurons のデバイスビューで管理します。デバイスのグループ化の詳細については、「デバイス」をご参照ください。
デバイスは、ゼロ個以上のグループに属している場合があります。
APA 用には、パブリックデバイスグループのみを選択できます。これらは動的または静的である可能性があります。
同様のデバイスタイプを分類するようにデバイスグループを構成すると、継続的なメンテナンスを簡素化するために、デバイスグループにポリシーを適用できます。

割り当てルールの設定

割り当てルールを設定するには、次の手順に従います。

[エージェント] > [エージェント管理] に移動します。
[エージェント配布] ページが表示され、既定で「自動ポリシー割り当て」タブが表示されます。
[構成] をクリックしてこの機能を有効にします。
これにより、APA 構成ページが表示されます。この手順は、初めて APA を設定する場合にのみ表示されます。
[編集] をクリックして、各デバイスまたはデバイスグループに割り当てるルールとポリシーを定義します。
[既定のポリシー] セクションの [既定のポリシー割り当てを選択] ドロップダウンリストからポリシーを選択します。
選択したポリシーがデバイスグループに割り当てられます。ポリシーの作成の詳細については、「エージェントポリシー」をご参照ください。
選択したポリシーは、既定ではテナントに接続されているすべてのエージェントエンドポイントに自動的に適用され、自動ポリシー割り当てが使用されます。このポリシーから特定のデバイスまたはデバイスグループを除外するには、例外を設定します。
既定のポリシードロップダウンリストには、Active Discovery、コネクタサーバ、配布、優先サーバの同期など、インフラストラクチャ機能を持つポリシーはリストされません。これらの機能を使用するには、セキュリティで保護された認証資格情報が必要であるため、それらを Ivanti Neurons インフラストラクチャデバイスの一部である特定のデバイスに配布してください。
[保存] をクリックします。
評価プロセスがあるため、変更がエンドポイントに適用されるまで最大24時間かかる場合があります。

既存のポリシー割り当ての移行

自動ポリシー割り当てが有効になる前にエージェントエンドポイントで構成されていた既存のポリシー割り当ては、自動ポリシー割り当てが構成されたときに、デバイス例外に自動的に移行されます。時間の経過とともに、デバイス例外をデバイスグループ例外に置き換えることをお勧めします。これにより、多数のデバイスのエンドポイント管理が簡素化されます。

インフラストラクチャ機能を含むポリシーを持っているエージェントエンドポイントについては、既定のポリシーまたはデバイスグループ例外ではそれらを管理できないため、デバイス例外を保持することを推奨します。例外に関する同じ振る舞いが、APA を有効にした後に手動でデバイスに割り当てられたポリシーにも当てはまります。詳細については、「手動ポリシー割り当てとデバイス例外」セクションをご参照ください。

手動ポリシー割り当てとデバイス例外

APA は、手動で選択されたポリシーを、上書きするのではなく、優先します。これは、次の2つの状況で当てはまります。

既存のポリシー割り当てが、最初の APA 設定中にデバイス例外に移行されたとき。
その後、デバイスを特定のポリシーに手動で割り当てたとき。

自動ポリシー割り当てが有効になっている間に、デバイスを特定のエージェントポリシーに手動で再割り当てすると、そのデバイスのデバイス例外が作成されます。例外は、将来の APA 評価中にも手動で選択されたポリシーを保持するため、既定のポリシーやデバイスグループ例外によってこの例外が上書きされることはありません。

デバイス例外を削除すると、デバイスは自動ポリシー割り当てに戻ります。後でデバイスを特定のポリシーに手動で再度割り当てると、新しいデバイス例外が作成されます。デバイス例外を削除すると、デバイスは自動ポリシー割り当てに戻ります。後でデバイスを特定のポリシーに手動で再度割り当てると、新しいデバイス例外が作成されます。

手動割り当てを削除し、デバイスを APA コントロールに戻すには、[エージェント管理] に移動し、[ポリシーの再割り当て] を選択し、[自動ポリシー割り当てを使用] を選択します。詳細な手順については、「(任意) エージェントポリシーの再割り当て」をご参照ください。

デバイス例外の構成

このセクションでは、テナントに接続されている個々のデバイスの既定のポリシー設定を上書きするように、例外を構成できます。デバイス例外を構成するには、次の手順に従います。

[自動ポリシー割り当て] タブで、[デバイス例外] セクションに移動します。
編集モードになっていることを確認します。なっていない場合は、[編集]をクリックします。
[デバイスの例外を追加] をクリックします。
[デバイスの例外を追加] ウィンドウが表示され、テナントに接続されているエンドポイントが一覧表示されます。
[エージェントポリシー] ドロップダウンリストからポリシーを選択します。
このドロップダウンリストには、インフラストラクチャ機能を持つポリシーも含まれます。
デバイスリストからエンドポイントを選択するか、検索ボックスを使用してテナントに接続されているデバイスを検索し、[追加] をクリックします。
または、デバイスを選択し、[削除] をクリックしてエンドポイントを除外します。
例外として含まれているデバイスは、[含まれている] 列の下の緑色のチェックマークで示されます。
[確認] をクリックします。
変更は、[デバイスの例外] セクションの下に表示されます。
各デバイスは一度に1つの例外にのみ所属できます。別の例外にデバイスを追加しようとすると、[保存] を選択して確定する前に、追加および削除される内容が UI に表示されます。

[デバイスの例外] セクションにリストされているデバイスは、優先順位に従っていません。デバイス名に基づく例外は、既定のポリシーとデバイスグループの例外のどちらよりも優先されます。

デバイスグループ例外の構成

このセクションでは、テナントに接続されているデバイスのグループに対して設定されている既定のポリシーを上書きするように、例外を構成できます。グループデバイス例外を構成するには、次の手順に従います。

[自動ポリシー割り当て] タブで、[デバイスグループ例外] セクションに移動します。
編集モードになっていることを確認します。なっていない場合は、[編集]をクリックします。
[デバイスグループ例外を追加] をクリックします。
[デバイスグループ例外を追加] ウィンドウが表示され、[利用可能なデバイスグループ] セクションの下に、テナントに接続されているデバイスグループが一覧表示されます。
[エージェントポリシー] ドロップダウンリストからポリシーを選択します。
[利用可能なデバイスグループ] セクションからデバイスグループを選択するか、検索ボックスを使用してテナントに接続されているデバイスグループを検索し、[追加] をクリックします。
含まれているデバイスグループが、[含まれているデバイスグループ] セクションに移動します。
または、[含まれているデバイスグループ] セクションでグループを選択し、[削除] をクリックしてエンドポイントを除外します。または、[すべて削除] をクリックして、例外リストからすべてのデバイスグループを削除します。
[確認] をクリックします。
変更は [デバイスグループ例外] セクションの下に表示されます。
1つのデバイスグループを1つ以上のデバイスグループ例外のメンバーとすることができます。デバイスグループ例外は既定のポリシーのみを上書きし、個々のデバイス例外はデバイスグループ例外よりも優先されます。
[デバイスグループ例外] セクションでは、デバイスグループを並べ替えて優先順位を付けることができます。優先順位を付けるには、左側のハンドルを使用してグループを上下にドラッグします。
画面の右上にある [保存] をクリックして変更を更新します。

APA 構成を保存すると、ルールは次のように評価されます。

更新された自動ポリシー割り当てルールと変更はシステム構成に保存されますが、すぐには実装されません。
ポリシールールは、システムのスケジュールに基づいて評価および実装されますが、これは通常、頻繁なまたは不必要なポリシーの再割り当てを防止するためのクールダウン期間により、24時間ごとです。
新しいルールまたは更新されたルールが保存され、次の評価サイクルで有効になります。
デバイスポリシーの再割り当てにつながる変更は、クールダウン期間の対象となります。アクションは、各デバイスのクールダウン期間が経過した後にのみ処理されます。

(オプション) 構成を今すぐ配布

通常の評価サイクル外に、または特定の状況で変更を適用するには、画面の右上隅にある [今すぐ実行] オプションを選択して、標準の24時間の評価期間を上書きします。このアクションにより、通常の評価サイクルを迂回して、自動ポリシー割り当てのプロセスがトリガされます。ただし、[今すぐ実行] を使用した場合でも、評価プロセスが完了するまで、デバイスに対するポリシー割り当ては実施されません。

保留中または実行中の要求がある場合、または前回の評価が最近完了した場合、システムは実行要求をキューに入れます。評価が現在進行中の場合は、現在の実行が最初に終了し、最初の要求の後に新しい要求が実行されます。

エージェントへの配布

APA 構成が完了した後、Neurons のプッシュインストールおよび手動インストール方法を使用して、エンドポイントにエージェントを配布できます。これらの方法では、自動ポリシー割り当てを利用してエンドポイント管理を簡素化できます。

Neurons のプッシュインストールまたは手動インストール方法を使用してエージェントエンドポイントに自動ポリシー割り当てを配布するには、「エージェント配布」トピックをご参照ください。

(オプション) エージェントポリシーの再割り当て

エージェント管理の一部として構成された自動ポリシー割り当てを使用して、多数のデバイスにポリシーを再割り当てできるようになりました。その他のエージェント管理機能の詳細については、「エージェント管理」をご参照ください。

エージェントポリシーの再割り当ての動作は、選択したオプションによって異なります。

特定のエージェントポリシーの割り当て:
1つ以上のデバイスを特定のエージェントポリシーに再割り当てすると、それらのデバイスごとにデバイス例外が作成されます。例外は、将来の APA 評価中にも手動で選択されたポリシーを保持するため、既定のポリシーやデバイスグループ例外によってこの例外が上書きされることはありません。
自動ポリシー割り当ての使用:
エージェントポリシーを再割り当てし、[自動ポリシー割り当てを使用] を選択すると、選択したデバイスの既存のデバイス例外が削除されます。その後、次のポリシー評価中に、それらのデバイスに自動的にポリシーが割り当てられます。

エンドポイントに構成済みの自動ポリシー割り当てを再割り当てするには、次の手順に従います。

ポリシーを再割り当てするエージェントエンドポイントの横のチェックボックスをオンにします。
[エージェント] > [ポリシーの再割り当て] を選択します。
[ポリシーの再割り当て] パネルが表示されます。
ドロップダウンリストから [自動ポリシー割り当てを使用] を選択します。
[保存] をクリックします。
[ポリシーの再割り当て] パネルが閉じます。
[エージェント管理] ページで、ステータスが [ポリシーの再割り当てが要求されました] に更新されます。ステータスにカーソルを置くと、ポリシー変更を要求したユーザ、要求日、割り当てられたポリシーの名前が表示されます。

自動ポリシー割り当てに戻されたデバイスが後で手動で特定のポリシーに再度割り当てられると、そのデバイスの新しいデバイス例外が作成されます。

例外の削除

個々のデバイス例外またはデバイスグループ例外を削除するには、次の手順に従います。

[自動ポリシー割り当て] タブで、編集モードになっていることを確認します。なっていない場合は、[編集]をクリックします。
次のように例外を削除します。
- デバイス例外を削除: [デバイスの例外] セクションで、リストからデバイスを選択します ([デバイス例外を編集] ページが表示されます)。次に、[デバイス例外を削除] をクリックします。
- デバイスグループ例外を削除: [デバイスグループ例外] セクションで、リストからデバイスを選択します ([デバイスグループ例外を編集] ウィンドウが表示されます)。次に、[デバイスグループ例外を削除] をクリックします。
[保存] をクリックします。

手動ポリシー再割り当てによって作成されたデバイス例外を削除すると、他のデバイス例外を削除するのと同じ動作をします。デバイスは自動ポリシー割り当てに戻り、次の評価サイクル中にポリシーが割り当てられます。