チェックとポリシー

  • リリースバージョン: Australia
  • 更新日 2026年03月12日
  • 所要時間：8分

    • チェックとは、コマンドとその構成の組み合わせです。チェックは、エージェントクライアントコレクターのデバイスで実行され、それらのデバイスからデータを収集します。

    チェック

    チェックはベースシステムで提供され、そのコマンドはオペレーティングシステムとアプリケーションの監視データを提供するスクリプトを実行します。チェックのデフォルト名は、監視や測定の対象、エンティティ、および監視データを示します。たとえば、os.linux.check-system-cpu という名前のチェックは、Linux システムの CPU データをチェックします。チェックで識別されたコマンドが監視対象デバイスで実行され、出力とステータスが提供されます。個々のチェックは、チェック定義と呼ばれます。ポリシーに関連付けられると、チェック定義はチェックインスタンスと呼ばれます。

    チェックインスタンスはニーズに合わせてカスタマイズできます。たとえば、実行間隔や、MySQL データベースにアクセスするためのログイン認証情報など、ポリシー固有のパラメーターをカスタマイズします。チェックインスタンスのカスタマイズは、ポリシーに関連付けられているチェックインスタンスでのみ有効になります。元のチェック定義や、ほかのポリシーで既に作成されているチェックインスタンスには影響しません。

    イベント管理 ベースシステムには、次のチェックタイプが用意されています。

    • イベント：チェックの結果が イベント管理 イベントに変換されます。
    • メトリクス：チェック結果からの値がメトリクスに変換されます。

    エージェントクライアントコレクターフレームワークのデフォルトチェックについての詳細は、「エージェントクライアントコレクター フレームワークのデフォルトチェック」を参照してください。

    エージェントクライアントコレクターモニタリング のデフォルトのチェックとポリシーについての詳細は、「エージェントクライアントコレクターモニタリング のデフォルトチェックとポリシー」を参照してください。

    ヴィジビリティ対応エージェントクライアントコレクター - コンテンツ のデフォルトのチェックとポリシーについての詳細は、「ヴィジビリティ対応エージェントクライアントコレクター - コンテンツ のデフォルトチェックとポリシー」を参照してください。

    エージェントのデバイスでチェックが実行されない場合は、エージェントが CPU 保護モードになっている可能性があります。CPU 保護モードは、デバイスの CPU 消費量が多すぎる場合にアクティブになります。エージェントに関連するすべての無効なチェックのリストを表示するには、[エージェントクライアントコレクター] ページのエージェントレコードに移動します (すべて > エージェントクライアントコレクター > エージェント)をクリックし、エージェントを選択し、ページの下部にある [ 無効なチェック ] タブを選択します。

    acc.yml構成ファイルでは、チェックを無効にするタイミングを決定する CPU 保護モードのしきい値を変更できます。チェックを再度有効にするには、チェックを選択し、[選択した行のアクション...] ドロップダウンで [無効なチェックを再度有効にする] を選択します。CPU 保護モードのしきい値の詳細については、「エージェントクライアントコレクター の CPU 保護しきい値」を参照してください。データ収集を手動でオフにする方法の詳細については、「エージェントクライアントコレクター データ収集の一時停止」を参照してください。

    cpu_protection_behavior プロパティを設定して、すべてのチェックが CPU 保護モードになるか、または設定された cpu_percentage_limit 値を超え、監視間隔内で CPU 使用率が最も高いチェックのみを決定するかを決定します。詳細については、「エージェントクライアントコレクター の CPU 保護しきい値」を参照してください。

    ポリシーに関連付けられなくなったチェックは、[ 古い ] としてマークされます。古いチェックを削除するには、チェックの横にあるボックスを選択し、[選択した行のアクション...] セルから [無効なチェックを再度有効にする] を選択して、チェックを再有効にします。

    ベースシステムでは、イベントの終了ステータスで重大度が次のように示されます。
    • 0 = OK
    • 1 = 警告
    • 2 = 重大
    カスタマイズされたスクリプトを実行することで、その他の重大度 (メジャー、マイナーなど) を追加できます。次の終了ステータスは、それぞれ以下の重大度を示します。
    • 13 = メジャー
    • 14 = マイナー

    チェックコマンドを実行するための権限

    servicenow ベースシステムユーザーに特定のチェックコマンドを実行する権限がない場合は、該当するオペレーティングシステムで以下の操作を行います。

    • Linux システムの場合：servicenow ユーザーが sudo 権限でコマンドを実行できるようにします。以下の sudo 構成要件が満たされていることを確認します。
      • tty とパスワードの要件を無効にする
      • すべての環境変数を保持する
      • コマンドを実行するための動的 PATH をサポートする
      /etc/sudoers ファイルの構成例：
      Cmnd_Alias ACC_F = /usr/sbin/dmidecode -s baseboard-serial-number, /usr/sbin/dmidecode -s chassis-serial-number, /usr/sbin/dmidecode -s system-serial-number, /usr/sbin/dmidecode -s system-uuid, /usr/sbin/ss -tanp 
servicenow ALL=(root) SETENV: /var/cache/servicenow/agent-client-collector/osquery/bin/osqueryi *, ACC_F
Defaults:servicenow !requiretty
Defaults exempt_group += servicenow
      注:
      コマンドパスは異なる場合があります。特別な考慮事項については、sudoers のマニュアルを参照してください。
      • SETENV: 文字列を使用すると、servicenow ユーザーが環境変数を保持できます。
      • !requiretty 文字列は tty を無効にします。
      • servicenow ユーザーを exempt_group に追加すると、パスワード要件がバイパスされ、sudo コマンドを実行するための動的 PATH が有効になります。

      チェック定義のチェックコマンドパラメーターセクションで must_sudo チェックパラメーターに true の値が設定されていることを確認します。

    • macOS システムの場合：エージェントサービスを実行しているユーザーが、ホスト上のすべての TCP 接続を照会する権限を持つユーザーグループに属していることを確認します。
    • Windows システムの場合：Windows のユーザー管理を使用して、適切な権限を持つグループに servicenow ユーザーを追加し、ユーザーが必要なコマンドを実行できるようにします。

    実行時間を経過したチェックを実行しています

    ラップトップまたはエージェントがスケジュールされた実行時間中に停止している場合、チェックは実行されません。これが発生した場合、システムの動作は、チェックが以前に実行されたかどうかによって異なります。
    • 一度も実行されていないチェック:チェックはエージェントの再接続時間 + X (X = 0〜60 分) で実行されます。これはチェックの永続的な実行時間です。

      例:ポリシー X がエージェントに同期されました。ポリシーのチェック A は以前に実行されたことがなく、午前 2 時に実行されるようにスケジュールされていました。しかし、その時、ノートパソコンは眠っていた。ラップトップは午前 9 時 9 分に起動します。エージェントが復元された後、チェック A が実行されなかったことがわかります。チェック A は午前 9 時 9 分から午前 10 時 9 分の間に実行されるようにスケジュールされ、午前 9 時 54 分に実行されます。チェック A の間隔は 24 時間ごとであるため、チェック A は毎日午前 9 時 54 分に実行されるようにスケジュールされています。

    • 既存の実行時間を逃したチェック:以前に実行されたチェックは、エージェントの再接続時間 + X (X = 0 〜 60 分) に実行されますが、将来的には、チェックは元々スケジュールされた実行時間に戻ります。

      例:チェック A は 1 日に 1 回実行され、毎日午前 9 時 54 分に実行されるようにスケジュールされています。ラップトップがスリープ状態であるか、午前 9 時から午後 1 時までエージェントが接続されていません。午後 1 時 17 分にラップトップがスリープ解除し、エージェントが起動して接続します。エージェントは、チェック A が午前 9 時 54 分に実行されていないことに気づき、午後 1 時 17 分から午後 2 時 17 分の間に実行するようにスケジュールしました。チェックは午後 1 時 37 分に実行されます。ただし、次回チェック A が実行される時間は、当初予定されていた時刻の午前 9 時 54 分です。

      このシナリオは、60 分ごとの間隔以上の頻度で実行されるチェックに対してのみ有効になります。60 分ごとの頻度未満のチェックは、前の間隔で実行されます。

    ポリシー

    ポリシーとは、エージェントクライアントコレクターによって監視される CI と、そうした CI で実行されるチェック定義を組み合わせたものです。

    単一のポリシーで複数の認証情報をサポートするには、認証情報エイリアスをポリシーにアサインします。たとえば、Linux と Windows の両方に異なる認証情報を持つ MySQL サーバーがある場合は、認証情報タイプごとに個別のポリシーを作成する必要があります。ただし、認証情報エイリアスを使用すれば、単一のポリシーをエイリアスにアサインできます。エージェントは、関連する認証情報を監視対象のアプリケーションと照合します。認証情報エイリアスの詳細については、「Create a Connection and Credential alias (接続および認証情報エイリアスの作成)」を参照してください。

    イベントタイプチェックを含むポリシーによって生成されたアラートは、CI モニタリングが次のいずれかの理由で停止されたときに、自動的にクローズされます。
    • ポリシーの無効化
    • アラートの原因となったチェックの無効化
    • ポリシーからのチェックの削除
    • ポリシーの削除
    • 監視対象 CI を決定するポリシーフィルターの変更