View a markdown version of this page

詳細設定 - Amazon Inspector
ローカル出力の設定リソース使用量の設定スキャンターゲットの設定定期的な実行の管理

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

詳細設定

このセクションでは、Inspector VM Scanner の高度な設定オプションについて説明します。

ローカル出力の設定

Inspector VM Scanner には、ローカル出力の書き込み方法を設定する以下のオプションがあります。

  • --send-results は telemetryまたは に設定する必要がありますdisabled。を渡すとdisabled、Inspector VM Scanner は SBOM を送信せずに続行します。

ヒント

--state-dir で --send-results disabledを使用して、SBOM をローカルに保存します。

  • --log-dir は、ログが書き込まれる場所を設定します。デフォルトでは、ログは stdout に書き込まれます。

  • --log-level はログの詳細度を設定します。デフォルトでは、これは INFO です。

  • --log-retention は、ログを保持する日数を設定します。より古いログファイル--log-retentionが で見つかった場合--log-dir、そのログファイルは削除されます。デフォルトでは、これは 7 日間です。

  • --debug はデバッグレベルのログ記録を設定し、（毎日 1 つのログファイルを維持しようとするのではなく) 現在の実行専用のログファイルを強制します。

  • --state-dir は、SBOMs書き込まれる場所を設定します。デフォルトでは、SBOMs は保存されません。

  • --metric-dir は、メトリクスログが書き込まれる場所を設定します。デフォルトでは、メトリクスログは保存されません。

  • --cpu-profile は Go ランタイム CPU プロファイラーを有効にし、結果が書き込まれる場所を設定します。

  • --mem-profile は Go ランタイムメモリプロファイラーを有効にし、結果が書き込まれる場所を設定します。

  • --config-path は Inspector VM Scanner にローカル設定ファイルから引数を取得するように指示します。CLI と設定ファイルの両方で同じ引数を渡すと、CLI 値が優先されます。

    • Inspector VM Scanner 設定ファイルは TOML で指定され、すべての引数名は CLI と同じです。

    • デフォルトでは、Inspector VM Scanner は Linux および macOS /opt/aws/inspector/etc/configの または C:\\ProgramData\\Amazon\\Inspector\\Config\\configの設定ファイルを検索しますWindows。ファイルには拡張子はありませんが、TOML 形式を使用します。

    • を指定すると--config-path、指定されたパスがデフォルトパスよりも優先されます。

次の例は、設定ファイルを示しています。

# Configuration file for Inspector VM Scanner
log-level = "INFO"
send-results = "telemetry"
cpu-profile = "cpuprofile"
mem-profile = "memprofile"
log-dir = "log"
state-dir = "state"
debug = false
log-retention = 7
scan-timeout = 300

[sbom]
max-scan-depth = 5
target-directory = ["~"]

リソース使用量の設定

Inspector VM Scanner には、リソースの使用状況を設定するための以下のオプションが用意されています。

  • --scan-timeout 指定された秒数後にスキャナーを強制的にタイムアウトさせます。デフォルトでは、スキャナーはタイムアウトしません。

  • --nice-priority はプロセスのnice優先度を設定します (Unix システムで使用可能）。デフォルトでは、これは 3 です。

  • --cpu-limit は CPU 使用率にハードキャップを設定します ( を使用する Linux システムで使用可能cgroups)。デフォルトでは、これは 65% です。

  • --process-priority はプロセスの優先度を設定します (Windowsシステムで使用可能）。デフォルトでは、これがBELOW NORMAL優先度です。

注記

--cpu-limit および のデフォルト値--process-priorityは、Inspector SSM プラグインと同じです。

スキャンターゲットの設定

Inspector VM Scanner は、Inspector SBOM Generator を活用してインベントリを収集します。その結果、Inspector VM Scanner のスキャンカバレッジオプションの多くが SBOM Generator から直接取得されます。

デフォルトでは、Inspector VM Scanner はファイルシステム全体をスキャンしません。オペレーティングシステムパッケージを収集し、Windows Update (Knowledge Base) データWindowsを使用して、更新が必要なシステムソフトウェアを特定します。また、一般的なプログラミング言語パッケージとその依存関係について、一般的なインストール場所を検査します。

システムドライブ以外のデータベースやアプリケーションサーバーなど、カスタムまたは標準以外の場所にインストールされたソフトウェアは、追加した場合にのみスキャンされます。このようなソフトウェアをカバーするには、Amazon EC2 スキャン設定にカスタムパスとして追加します。拡張 EC2 スキャンでは、カスタムパスが Linux、Windows、および macOSインスタンスに適用され、デフォルトの場所に加えてスキャンされます。詳細については、Amazon Inspector の詳細検査のカスタムパス」を参照してください。

このセクションの高度なオプションを使用して、VM Scanner の呼び出し中にインスタンスごとにディレクトリを追加することもできます。で追加したディレクトリ--target-directoryは、デフォルトに加えてスキャンされます。

Inspector VM Scanner には、スキャンターゲットを設定するための以下のオプションが用意されています。

  • --max-scan-depth は、スキャンが各スキャン場所から通過するディレクトリレベルの最大数を設定します。

  • --target-directory は、デフォルトに加えて 1 つ以上のディレクトリをスキャンに追加します。設定ファイルで、 を配列[sbom]として指定します。例: target-directory = ["D:\\oracle"]。

  • --override-scanners は正確な filescanner を設定し、Inspector VM Scanner のデフォルトを上書きします。

  • --additional-scanners は、Inspector VM Scanner のデフォルトに加えて、使用する filescanner を設定します。

次のコマンドを使用して、使用可能なすべてのスキャナーを一覧表示できます。

./inspector-vm-scanner sbom --list-scanners

定期的な実行の管理

パッケージマネージャーを使用して Inspector VM Scanner をインストールすると、インストールによってスキャンを自動的に実行するスケジュールされたタスクが作成されます。このスケジュールを表示、変更、または無効にできます。

Linux (systemd)

サービスのステータスと最近の実行を表示する 

systemctl status inspector-vm-scanner

リアルタイムログを表示する 

journalctl -u inspector-vm-scanner -f

最近のログを表示する 

journalctl -u inspector-vm-scanner --since "1 hour ago"

現在のタイマー間隔を確認する 

systemctl cat inspector-vm-scanner.timer

スキャン間隔を変更する

重要

のユニットファイルは/usr/lib/systemd/system/直接編集しないでください。パッケージの更新は、これらのファイルを上書きします。systemctl edit 代わりに を使用します。これにより、更新後も存続する永続的な上書きが作成されます。

デフォルトの間隔は 3 時間ごとです。変更するには、以下を実行します。

sudo systemctl edit inspector-vm-scanner.timer

開いたエディタで、以下を追加します (この例では間隔を 6 時間に設定します）。

[Timer]
OnBootSec=
OnUnitActiveSec=
OnBootSec=0
OnUnitActiveSec=21600s

空の割り当ては、値が有効になる前にデフォルトをクリアします。保存後、タイマーを再起動します。

sudo systemctl daemon-reload
sudo systemctl restart inspector-vm-scanner.timer

オーバーライドが有効になったことを確認するには、 を実行しますsystemctl cat inspector-vm-scanner.timer。デフォルトに戻すには、 を実行しますsudo systemctl revert inspector-vm-scanner.timer。

自動実行を有効または無効にする

sudo systemctl enable inspector-vm-scanner.timer   # Enable automatic runs.
sudo systemctl disable inspector-vm-scanner.timer  # Disable automatic runs.

Windows (タスクスケジューラ)

タスクのステータスと最終実行を表示する 

Get-ScheduledTask -TaskName "Inspector VM Scanner" | Get-ScheduledTaskInfo

最近のタスクログを表示する 

Get-ScheduledTaskInfo -TaskName "Inspector VM Scanner"

詳細なタスク履歴を表示する 

schtasks /query /tn "Inspector VM Scanner" /v /fo list

現在のタスクスケジュールを表示する 

Get-ScheduledTask -TaskName "Inspector VM Scanner" | Select-Object -ExpandProperty Triggers

タスクスケジュールを更新する

スキャン頻度を変更するには: 

# Modify trigger to run daily at 2 AM
$trigger = New-ScheduledTaskTrigger -Daily -At 2:00AM
Set-ScheduledTask -TaskName "Inspector VM Scanner" -Trigger $trigger

タスクを有効または無効にする 

Enable-ScheduledTask -TaskName "Inspector VM Scanner"   # Enable automatic runs
Disable-ScheduledTask -TaskName "Inspector VM Scanner"  # Disable automatic runs

macOS (起動)

起動されたタスクを表示する 

sudo launchctl print system/com.amazon.inspector.vm-scanner

単一のタスクを実行する 

sudo launchctl start com.amazon.inspector.vm-scanner