1,000 台のマシンにパッチを適用したり、特定の部署にソフトウェアを展開したり、定義されたエンドポイント群全体にセキュリティポリシーを適用したりする必要がある場合、重要なのは単にどのような措置を講じるかということだけではありません。 重要なのは、誰をターゲットにしているかということです。
Taniumでは、その答えはコンピュータグループに格納されています。 コンピュータグループは、このプラットフォームの構成要素の一つであり、 のパッチ適用、、ソフトウェアの展開、セキュリティツール、およびロールベースのアクセス制御など、さまざまな場面で活用され、特定のアクションの対象となるエンドポイントを正確に定義するために使用されます。 それらがなければ、エンドポイントを個別に大規模に管理することは不可能となり、Taniumの強みである効率性が損なわれてしまいます。
ジェシュ氏は、Taniumが標準で提供するグループから始め、組織が「フィルタービルダー」を使用して独自のグループを作成する方法へと進みながら、コンピュータグループの仕組みを基礎から詳しく解説しています。 彼女は、 のTaniumの質問で使用されているのと同じセンサーを基盤として構築された式が、グループの所属を動的に決定する仕組みや、それらのグループがプラットフォーム全体におけるロールベースのアクセス制御や展開対象設定にどのように直接結びついているかについて解説しています。
Taniumでエンドポイントを管理していて、まだ組織内のコンピュータグループを詳しく確認したことがないという方には、今回のエピソードが、ターゲティングやスケーリングに対する考え方を一変させることでしょう。 また、ジェシュ氏は、 の「Deploy」モジュール（ ）でデプロイメントを作成する際に、コンピュータグループがどのように表示されるかをライブで実演し、グループの設定と実際の運用との関連性を、わかりやすく実践的に解説しています。 以下のリンクから、エピソードの全編をご覧ください。
キーポイント
- あらゆるものの構成要素： コンピュータグループはTaniumの構成要素であり、パッチ適用、セキュリティツールの展開、および特定のエンドポイント群を対象とするあらゆるアクションで利用されます。そのため、このプラットフォームを理解する上で最初に把握すべき概念の一つとなっています。
- メンバーシップは式によって定義されます： 各コンピュータグループでは、Taniumの質問で使用されるのと同じセンサーに基づいて構築された式を使用し、そのグループに属するエンドポイントをフィルタリングして特定します。例えば、「Windows OS タイプ = Windows Workstation」といった式です。 一致するエンドポイントのプレビューは、グループ設定ページから直接ご覧いただけます。
「」そして、コンピュータ・グループのおかげで、まさにそれを実現でき、何かをターゲットにしたり、あるいは管理したりする際に、「誰が」という疑問にもある程度答えることができるのです。 この対象は誰なのでしょうか？ どのようなエンドポイントについて、管理権限をお持ちですか？ これらはすべて、あるコンピュータグループによって定義されています。”Tanium Product Enablement Architect Jesh Sax
- ロールベースのアクセス制御： コンピュータグループは、 のロールベースのアクセス制御（）の一環として割り当てることができます。これにより、各管理者は指定されたグループ内のエンドポイントのみを管理できるようになります。例えば、ある管理者がWindowsワークステーションを管理し、別の管理者がMacワークステーションを管理するといった具合です。
- 部門別の動的グループ： フィルタービルダーを使用すると、部門、命名規則、またはカスタムタグに基づいてエンドポイントを絞り込み、カスタムコンピュータグループを作成できます。これにより、財務部門のエンドポイントにのみソフトウェアを配信したり、法務部門のタグでグループ化したりするなど、選択した基準に基づいて、対象のマシンにソフトウェアを展開することが可能になります。
「さて、そんなナンセンスな話はもうやめましょう。」 タグや動的な条件のような仕組みを設けて、この条件に一致するエンドポイントがオンラインになると、そのグループに自動的に追加されるようにしましょう。 したがって、環境の変化や拡張に伴い、これらのグループも環境の変化や拡張に合わせて適応し、定義された条件に合致する新しいエンドポイントを適切に処理できるようになります。”Tanium Product Enablement Architect Jesh Sax
- 動的グループと手動グループの比較： Taniumは、動的グループと手動グループの両方をサポートしています。ただし、特定のホスト名を列挙する手動グループは、マシンの名前変更や交換が行われると情報が古くなってしまうため、ほとんどの本番環境では動的グループの使用を強く推奨しています。
- 展開のターゲット設定を直接行う： 「Deploy」モジュールでは、展開を作成する際にコンピュータグループがターゲット設定条件に直接表示されるため、明確に定義されたエンドポイントのセットに対して、ソフトウェア、パッチ、またはセキュリティツールを簡単に配信することができます。 このターゲティング手法は、パッチ適用、 、BitLockerの適用、セキュリティツール、およびファイル整合性監視のすべてに適用されます。
「組織内のコンピュータグループについてご存じない方もいらっしゃるかもしれませんが、これまでTaniumのデフォルトのコンピュータグループをご紹介してきましたよね？ おそらく、御社には、よりカスタマイズされており、御社にとってより理にかなったものがいくつかあるのではないでしょうか。 部署ごとに、あるいはさまざまなアクセス制御に基づいて設定されている可能性があります。 権限をお持ちでしたら、「管理」および「コンピュータグループ」を開いて、組織内にどのようなグループがあるかを確認し、「なぜこのグループがあるのか？」といったことを考えてみてください。 「もう一つのものは、どこで使うんですか？」 周囲の環境や、ターゲットを定める際に利用できるオプションについて理解を深めてください。”Tanium Product Enablement Architect Jesh Sax
その他の参考資料
- Tanium Console および Interact の概要：Tanium Console の GUI、Interact モジュール、および Data Service がどのように連携して、エンドポイントの照会、アクションの展開、および大規模な環境の管理を支援するかについてご説明します。
- Tanium Deploy を使用した大容量ファイルの展開に関するベストプラクティス：帯域幅に制約のある環境で大容量ファイルを配布する際、2パッケージ方式と1パッケージ方式の比較についてご確認ください。
- Taniumコンソールの操作方法――Tanium Tech Talks #154：Tanium Basicsシリーズの初回エピソードでは、Jesh Sax氏がコンソールの主要なセクションをすべて解説し、初心者から経験豊富な管理者まで、このプラットフォームの実用的な概要をご紹介します。
