Installation des Tanium Zone Servers

Installieren Sie einen Tanium Zone Server in Ihrer DMZ, der als Proxy für die Kommunikation von externen Endpunkten zum Tanium Server dient. Sie können den Zoneserver-Hub auf demselben Host wie dem Tanium Server oder auf einem eigenen Host installieren. Sie können zwei Zoneserver und zwei Zoneserver-Hubs in einer Active-Active-HA-Konfiguration einsetzen, um eine kontinuierliche Verfügbarkeit im Falle eines Ausfalls oder einer geplanten Wartung sicherzustellen. Einzelheiten zum Zoneserver, Zoneserver-Hub und ihren Bereitstellungsoptionen finden Sie unter Tanium Zone Server.

Bevor Sie beginnen

Stellen Sie sicher, dass Sie die folgenden Anforderungen erfüllen, bevor Sie den Zoneserver installieren:

• Version des Installationsprogramms: Stellen Sie sicher, dass Sie die richtige Version des Installationsprogramms (SetupZoneServer.exe) haben. Das Installationspaket für alle Tanium Core Platform-Server muss dieselbe Build-Nummer aufweisen (z. B. müssen alle die Build-Nummer 7.4.5.1200 aufweisen). Wenden Sie sich an den Tanium-Support.
• Host-Anforderungen: Das Hostsystem erfüllt die Hardware-, Software- und Netzwerkkonnektivitätsanforderungen, die für Ihre Bereitstellung geeignet sind: siehe Anforderungen und Ressourcenanforderungen.
• Firewall-Regeln: Ihr Netzwerkadministrator muss Firewall-Regeln konfigurieren, um die Kommunikation vom Zonenserver-Hub zum Zonenserver auf dem Port zu ermöglichen, den Sie für diesen Datenverkehr konfiguriert haben. Die Standardeinstellung lautet TCP-Port 17472, aber Sie können einen anderen Port angeben: siehe Konfiguration von Ports für Datenverkehr von Zoneserver-Hubs und Tanium Clients.
• Sicherheitsausnahmen: Ihr Sicherheitsteam muss Ausnahmen von hostbasierten Sicherheitsrichtlinien konfigurieren, damit Tanium-Prozesse reibungslos und mit optimaler Leistung funktionieren können: siehe Referenzhandbuch zur Bereitstellung der Tanium Core Platform: Sicherheitsausnahmen des Hostsystems.
• Initialisierungsgruppierung: Wenn Sie eine Neuinstallation des Zonenservers und Zonenserver-Hubs durchführen, laden Sie die Tanium™-Initialisierungsgruppierung herunter (tanium-init.dat). Der Zoneserver und Hub verwenden die Datei, um die Kommunikation mit dem Tanium Server zu sichern. Für das Download-Verfahren siehe Benutzerhandbuch für die Tanium Console: Laden Sie die Infrastruktur-Konfigurationsdateien (Schlüssel) herunter.

Den Tanium Zone Server installieren

Dieser Abschnitt enthält Verfahren für den folgenden Arbeitsablauf:

1. Führen Sie das Installationsprogramm auf dem Zonenserver-Hub-Hostcomputer aus. In diesem Beispiel ist der Tanium Server-Hostcomputer auch der Hostcomputer des Zoneserver-Hubs.

2. Führen Sie das Installationsprogramm auf einem oder mehreren Zoneserver-Hostcomputern in der DMZ aus.

Das Installationsprogramm für den Tanium Zone Server übernimmt die folgenden Aktionen:

• Öffnet den TCP-Port 17472 in der Windows Firewall des lokalen Hostcomputers.
• Installiert den Tanium Zone Server-Hub oder Zoneserver auf dem lokalen Hostcomputer und startet den Dienst.

Installation des Zoneserver-Hubs

Führen Sie für jeden Zoneserver-Hub die folgenden Schritte durch.

1. Melden Sie sich als Administratorbenutzer im internen Netzwerk-Hostsystem an, auf dem Sie den Zoneserver-Hub installieren werden.
2. Kopieren Sie das Installationsprogramm (SetupZoneServer.exe) in einen temporären Speicherort auf dem Hub-Host.
3. (Nur Neuinstallationen) Kopieren Sie die Initialisierungsdatei (tanium-init.dat) vom Tanium Server zu einem temporären Speicherort auf dem Hub-Host, wenn Sie den Hub auf einem dedizierten Host installieren. Wenn Sie den Hub auf dem Tanium Server-Host installieren, finden Sie die Datei im Tanium Server-Installationsordner.
4. Rechtsklick auf SetupZoneServer.exe und Run as Administrator (Als Administrator ausführen) wählen.
5. Schließen Sie den Installationsassistenten ab. Die folgende Tabelle enthält Richtlinien für Schlüsseleinstellungen.



Einstellungen	Richtlinien
Installationsspeicherort auswählen	Der Standard-Installationsordner ist C:\Program Files (x86)\Tanium\Tanium Zone Server.
Zone Server Type (Zoneserver-Typ)	Wählen Sie Zone Server Hub (Zoneserver-Hub) aus.
Dienstkonto für Tanium Zone Server auswählen	Konto angeben: Geben Sie ein Dienstkonto an, um den Tanium Zone Server-Dienst auf dem lokalen Hostcomputer auszuführen: Benutzername: Nur den Kontoname-Teil der Zugangsdaten eingeben, z. B. taniumsvc. Domain: Geben Sie den Domain-Namen ein, z. B. example.com. Password (Passwort): Geben Sie das Kontopasswort ein.
	Lokales Systemkonto: Wählen Sie diese Option aus, um Software zu installieren und den Dienst im Kontext des lokalen Systemkontos auszuführen. Da dieses Konto höhere Betriebssystemberechtigungen gewährt als für Zoneserver-Operationen erforderlich sind, ist ein bewährtes Verfahren, diese Option nicht für Produktionsbereitstellungen auszuwählen.
Initialization File (Initialisierungsdatei)	(Nur Neuinstallationen) Geben Sie den Dateipfad der Datei tanium-init.dat an.
Serveradresse	Geben Sie den vollständig qualifizierten Domain-Namen (Fully-Qualified Domain, FQDN) oder die IP-Adresse des Tanium Servers an. Sie müssen IPv6-Adressen innerhalb der eckigen Klammern eingeben (z. B. [2001:db8::1]).
Serverport	Der eingehende Port, auf dem der Zoneserver-Hub Datenverkehr vom Tanium Server und Zoneserver empfängt. Der Standardwert ist 17472.



6. (Nur nicht lokaler Hub) Wenn der Zoneserver-Hub auf einem anderen Host als der Tanium Server liegt, melden Sie sich in der Tanium Server-CLI an und konfigurieren Sie die Einstellung AllowedHubs:

   1. Navigieren Sie zum Tanium Server-Installationsordner:

      $ CD <Tanium Server>

   2. Aktivieren (Bewährtes Verfahren) oder deaktivieren Sie die Durchsetzung der Einstellung AllowedHubs. Der Standardwert 1 legt fest, dass der Tanium Server die Einstellung durchsetzt: Nur Hubs, die in AllowedHubs aufgeführt sind, können mit dem Tanium Server kommunizieren. Der Wert 0 erlaubt jedem Hub die Kommunikation mit dem Tanium Server, unabhängig von der Einstellung AllowedHubs.

      $ TaniumReceiver config set EnforceAllowedHubs [1|0]

   3. Wenn Sie die Durchsetzung von AllowedHubs aktiviert haben, konfigurieren Sie sie wie folgt, wobei <hub1,hub2...> eine durch Kommas getrennte Liste von Hubs ist, die dazu autorisiert sind, mit diesem Tanium Server zu kommunizieren. Geben Sie die Hubs nach FQDN oder IP-Adresse an. Sie müssen IPv6-Adressen innerhalb der eckigen Klammern eingeben (z. B. [2001:db8::1]). Der Standardwert ist 127.0.0.1 (localhost).

      $ TaniumReceiver config set AllowedHubs <hub1,hub2...>

7. (Nur nicht-lokaler Hub) Wenn der Zoneserver-Hub sich auf einem anderen Host befindet als der Tanium Server, aktivieren Sie den Datei-Zwischenspeicher und legen Sie seine maximale Größe fest: siehe Zwischenspeicher auf Zoneserver und Zoneserver-Hub verwalten.

Installation des Zoneservers

Führen Sie für jeden Zoneserver die folgenden Schritte durch.

1. Melden Sie sich als Administratorbenutzer bei dem Tanium Zone Server-Hostcomputer an.
2. Kopieren Sie das Installationsprogramm (SetupZoneServer.exe) in einen temporären Speicherort auf dem Zonenserver.
3. (Nur Neuinstallationen) Kopieren Sie die Initialisierungsdatei (tanium-init.dat) vom Tanium Server zu einem temporären Speicherort auf dem Zoneserver.
4. Rechtsklick auf die Datei SetupZone.exe und Run as Administrator (Als Administrator ausführen) wählen.
5. Schließen Sie den Installationsassistenten ab. Die folgende Tabelle enthält Richtlinien für Schlüsseleinstellungen.



Einstellungen	Richtlinien
Installationsspeicherort auswählen	Der Standardwert ist C:\Program Files (x86)\Tanium\Tanium Zone Server.
Zone Server Type (Zoneserver-Typ)	Wählen Sie Zone Server (Zoneserver) aus.
Dienstkonto für Tanium Zone Server auswählen	Konto angeben: Geben Sie ein Dienstkonto an, um den Tanium Zone Server-Dienst auf dem lokalen Hostcomputer auszuführen: User Name (Benutzername): Nur den Kontoname-Teil der Zugangsdaten eingeben, z. B. taniumsvc. Domain: Geben Sie den Domain-Namen ein, z. B. example.com. Password (Passwort): Geben Sie das Kontopasswort ein.
	Lokales Systemkonto: Wählen Sie diese Option aus, um Software zu installieren und den Dienst im Kontext des lokalen Systemkontos auszuführen. Da dieses Konto höhere Betriebssystemberechtigungen gewährt als für Zoneserver-Operationen erforderlich sind, ist ein bewährtes Verfahren, diese Option nicht für Produktionsbereitstellungen auszuwählen.
Initialization File (Initialisierungsdatei)	(Nur Neuinstallationen) Geben Sie den Dateipfad der Datei tanium-init.dat an.
IP-Adressen oder FQDNs von zulässigen Zoneserver-Hubs	Geben Sie eine durch Komma getrennte Liste der IP-Adressen oder FQDNs für die Zonenserver-Hubs ein, die autorisiert sind, mit diesem Zonenserver zu kommunizieren. Sie müssen IPv6-Adressen innerhalb der eckigen Klammern eingeben (z. B. [2001:db8::1]). Geben Sie in einer HA-Bereitstellung beide Zoneserver-Hubs an.




6. (Nur HA) Geben Sie als bewährtes Verfahren den bevorzugten Zoneserver-Hub an, von dem der Zoneserver Tanium Client-Inhalte wie z. B. Aktionspakete erhält (siehe Tanium Zone Server für Details). Melden Sie sich bei der Zonenserver-CLI an (siehe Handbuch für die Bereitstellung der Tanium Core Platform: CLI) und führen Sie die folgenden Befehle aus:

   $ cd <Zoneserver>

   $ TaniumZoneServer config set HubPriorityList <hub IP address or FQDN>

7. Wenn Sie separierte Subnetze oder isolierte Subnetze auf dem Tanium Server konfigurieren, müssen Sie sie in den Zonenserver kopieren, wie beschrieben in Benutzerhandbuch für Tanium Client Management: Konfigurieren von Tanium Client-Peering.
8. (Bewährte Methode) Konfigurieren Sie separate Ports auf dem Zoneserver für den Datenverkehr von Zoneserver-Hubs und Tanium Clients: siehe Konfiguration von Ports für Datenverkehr von Zoneserver-Hubs und Tanium Clients.
9. Falls erforderlich, um den Überverbrauch von Festplattenspeicher auf dem Zoneserver zu verhindern, konfigurieren Sie eine maximale Größe für den Datei-Zwischenspeicher: Zwischenspeicher auf Zoneserver und Zoneserver-Hub verwalten.
10. Aktivieren Sie das Vertrauen zwischen Zoneserver-Hub und Tanium Server und ordnen Sie dem Hub Zoneserver zu: siehe Benutzerhandbuch für die Tanium Console: Zoneserver und Hubs verwalten.
11. Konfigurieren Sie die Verbindungen von Tanium Clients, die sich beim Zonenserver registrieren müssen: siehe Konfigurieren von Tanium Clients zur Registrierung mit dem Zonenserver.
12. Überprüfen Sie die Bereitstellung: siehe Überprüfung der Tanium Core Platform-Bereitstellung.

Konfiguration von Ports für Datenverkehr von Zoneserver-Hubs und Tanium Clients

Standardmäßig verwendet der Zoneserver denselben Port (standardmäßig 17472) für eingehenden Datenverkehr von Zoneserver-Hubs und Tanium Clients. Als bewährtes Verfahren zur Verbesserung der Sicherheit des Zoneservers sollten Sie separate Ports konfigurieren:

1. Melden Sie sich als Administratorbenutzer bei dem Zonenserver-Host an.
2. Öffnen Sie die CLI (siehe Referenzhandbuch zur Bereitstellung der Tanium Core Platform: CLI).

3. Navigieren Sie zum Zoneserver-Installationsordner:

   > cd <Zoneserver>

4. Konfigurieren Sie den Port für Datenverkehr von Tanium Clients:

   > TaniumZoneServer config set ZoneServerPort <port>

   Wenn Tanium Clients bereits für die Kommunikation mit dem Zonenserver konfiguriert sind, ist die Best Practice, diese Portnummer unverändert zu lassen und nur den Port für Datenverkehr von Zonenserver Hubs zu bearbeiten.

5. Konfigurieren Sie den Port für Datenverkehr von Zoneserver-Hubs:

   > TaniumZoneServer config set ZoneServerPortForHub <port>

6. Wenn der Datenverkehr zwischen Zoneserver und Zoneserver-Hubs eine Firewall durchläuft, konfigurieren Sie die Firewall so, dass sie es nur Hubs gestattet, die sich in der AllowedHubs-Liste befinden, eine Verbindung zu dem Port aufzubauen, den Sie in der ZoneServerPortForHub-Einstellung angegeben haben. Schritte zur Konfiguration der Firewall finden Sie in der Firewall-Dokumentation. Um zu sehen, welche Hubs sich in der AllowedHubs-Liste befinden, führen Sie den folgenden Befehl aus:

   > TaniumZoneServer config get AllowedHubs

7. Öffnen Sie das Windows-Dienste-Programm und starten Sie den Dienst Tanium ZoneServer neu.

8. Löschen und erstellen Sie die Zoneserver-Hub-zu-Zoneserver-Zuordnungen des Zoneservers neu, für den Sie separate Ports konfiguriert haben.

   Die Schritte finden Sie unter Benutzerhandbuch für die Tanium Console: Eine Zoneserver-Hub-zu-Zoneserver-Zuordnung löschen und Benutzerhandbuch für die Tanium Console: Zoneserver einem Zoneserver-Hub zuordnen.

Konfigurieren von Tanium Clients zur Registrierung mit dem Zonenserver

Um Tanium Clients für die Registrierung mit einem Zonenserver zu konfigurieren, müssen Sie es zur ServerNameList-Einstellung auf jedem Client hinzufügen. Diese Einstellung kann mehrere Zonenserver und Tanium Server angeben. Bei dem Versuch, eine Verbindung herzustellen, wählt der Client zufällig einen Server gleichzeitig in der Liste aus und registriert sich nur beim ersten Server, für den der Client die IP-Adresse auflösen kann. Um sicherzustellen, dass Clients sich mit dem richtigen Server verbinden und registrieren, arbeiten Sie mit Ihrem Netzwerkadministrator zusammen, um Ihre DNS-Konfiguration (Domain Name System) zu überprüfen. Beispielsweise lösen externe Clients typischerweise die IP-Adressen von Zone Servern in der DMZ auf, jedoch nicht von Tanium Servern im internen Netzwerk. Im Gegensatz dazu lösen interne Clients typischerweise die IP-Adressen von Tanium Servern im internen Netzwerk, jedoch nicht von Zonenservern in der DMZ.

Die Schritte zum Konfigurieren von Tanium Clients zur Registrierung beim Zonenserver hängen davon ab, ob Sie die Clients bereits verteilt haben.

Erste Tanium Client-Verteilung

Führen Sie die folgenden Schritte aus, wenn Sie die Tanium Clients, die sich beim Zonenserver registrieren müssen, noch nicht verteilt haben:

1. Verwenden Sie Tanium™ Client Management, um Installationspakete wie im Benutzerhandbuch für Tanium Client Management beschrieben herunterzuladen: Laden Sie das Installationsbundle zur alternativen Verteilung herunter.

   Jeder Endpunkt OS-Typ erfordert ein separates Bundle. Jedes Bundle enthält die folgenden Dateien, die Sie bei der Verteilung der Clients verwenden:

   • Installer-Datei zur Installation des Tanium Client, wie SetupClient.exe für Windows-Endpunkte.

     Das Linux-Bundle enthält ein Installationsprogramm für jede unterstützte Linux-Verteilung.

   • Initialisierungsdatei (tanium-init.dat), um Verbindungen zwischen dem Tanium Client und anderen Komponenten der Tanium Core Platform zu sichern.

   

2. Stellen Sie den Tanium Client für Endpunkte bereit, wie im Benutzerhandbuch zur Tanium Client-Verwaltung beschrieben. Geben Sie für die Einstellung ServerNameList die FQDN- oder IP-Adresse jedes Zonenservers und Tanium Servers an.

   Sie müssen IPv6-Adressen innerhalb der eckigen Klammern eingeben (z. B. [2001:db8::1]).

   Im Tanium Client-Installationsassistenten für Windows geben Sie den Wert ServerNameList im Feld Server Address (Serveradresse) an.

3. Arbeiten Sie mit Ihrem Netzwerkadministrator zusammen, um sicherzustellen, dass Tanium Clients, die sich beim Zonenserver registrieren müssen, die IP-Adresse des Tanium Servers nicht auflösen können.

   Dieser Schritt ist notwendig, um zu verhindern, dass Clients den Zonenserver umgehen und sich direkt mit dem Tanium Server verbinden kann.

4. Verwenden Sie Tanium Interact, um eine Frage auszustellen, die den Wert der ServerName- und ServerNameList-Einstellungen von Tanium Clients zurückgibt. Der ServerName ist die FQDN oder IP-Adresse des Servers, mit dem Clients sich derzeit verbinden.

   Tanium Servername und Tanium Server-Namensliste von allen Maschinen abrufen

5. Überprüfen Sie im Raster Question Results (Frageergebnisse), ob der Wert Tanium Server Name den Zonenserver für alle Clients anzeigt, die sich bei ihm registrieren müssen, und überprüfen Sie, ob der Wert Tanium Server Name List (Tanium Server Namensliste) alle von Ihnen angegebenen Server enthält.

   
   

Verteilung bestehender Tanium Client

Führen Sie die folgenden Schritte aus, um die ServerNameList-Einstellung auf Tanium Clients zu ändern, die Sie mit dem Zonenserver registrieren möchten. Wiederholen Sie in einer Verteilung mit Windows- und Nicht-Windows-Endpunkten die Schritte für beide Arten von Endpunkten.

1. Löschen Sie alle vorhandenen geplanten Aktionen, die die ServerNameList oder ServerName konfigurieren, um Konflikte mit den neuen Aktionen zu verhindern, die Sie für diese Einstellungen erstellen.
2. Verwenden Sie Tanium Interact, um eine Frage auszugeben, die die Tanium Clients identifiziert, die sich noch nicht beim Zonenserver registrieren.

   Im folgenden Beispiel werden Tanium Clients in einer Verteilung identifiziert, bei der Zonenserver FQDN zs1.tam.local ist und die aktiv-aktiven Tanium-Server ts1.tam.local und ts2.tam.local sind.

   Erhalten Sie die Tanium Server Namensliste und Is Windows von allen Maschinen mit allen Tanium Server Namenslisten, die nicht gleich “zs1.tam.local,ts1.tam.local,ts2.tam.local” sind

   
   

3. Wählen Sie im Raster Question Results (Frageergebnisse) die Windows- oder Nicht-Windows-Endpunkte (nicht beide) aus, die sich beim Zonenserver registrieren müssen, und klicken Sie auf Deploy Action (Aktion bereitstellen).
4. Geben Sie eines der folgenden als Deployment Package (Verteilungspaket) an:
   • Tanium Server Namensliste für Windows-Endpunkte festlegen
   • Tanium Server Namensliste[Non-Windows] für nicht-Windows-Endpunkte festlegen
5. Geben Sie im Feld Server Name List die FQDN- oder IP-Adresse jedes Zonenservers und Tanium Servers an.

   Sie müssen IPv6-Adressen innerhalb der eckigen Klammern eingeben (z. B. [2001:db8::1]).

   

6. Legen Sie einen Zeitplan für die Aktion fest.

   Erwägen Sie, ein Neuausgabe-Intervall festzulegen, wenn einige Zielendpunkte offline sein könnten, wenn Sie die Aktion anfänglich verteilen.

   

7. Stellen Sie im Abschnitt Targeting Criteria (Zielkriterien) sicher, dass die Einstellungen nur Windows-Endpunkte oder Nicht-Windows-Endpunkte basierend auf dem von Ihnen ausgewählten Paket angeben
8. Klicken Sie auf Show preview to continue (Vorschau anzeigen, um fortzufahren) und überprüfen Sie, ob das Targeting korrekt ist.

   

9. Klicken Sie auf Deploy Action (Aktion bereitstellen) und überprüfen Sie den Aktionsstatus, um zu überprüfen, ob die Aktion ohne Fehler abgeschlossen wird.

   

10. Verwenden Sie Tanium Interact, um eine Frage auszugeben, die die Werte ServerName und ServerNameList von Tanium Clients zurückgibt. Der ServerName ist die FQDN oder IP-Adresse des Servers, mit dem Clients sich derzeit verbinden. Wenn die Aktion erfolgreich war, zeigt der ServerName den Zonenserver für zumindest einige Clients und Der Wert Tanium Server Name List listet alle korrekten Server auf (zs1.tam.local,ts1.tam.local,ts2.tam.local in diesem Beispiel).

    Möglicherweise müssen Sie ein paar Minuten warten, bis die Ergebnisse die neuen Werte zeigen. Stellen Sie sicher, dass Live-Updates für das Ergebnisraster aktiviert sind. Ob sich ein bestimmter Tanium Client mit dem Zonenserver oder Tanium Server verbindet, hängt von der Konfiguration des Domain Name Systems (DNS) Ihres Netzwerks ab.

    Tanium Servername und Tanium Server-Namensliste von allen Maschinen abrufen

    

    
    
11. Arbeiten Sie mit Ihrem Netzwerkadministrator zusammen, um sicherzustellen, dass Tanium Clients, die sich beim Zonenserver registrieren müssen, die IP-Adresse des Tanium Servers nicht auflösen können.

    Dieser Schritt ist notwendig, um zu verhindern, dass diese Clients den Zonenserver umgehen und sich direkt mit dem Tanium Server verbinden können.