使用 Smart Folders 動態篩選電腦

Smart Folders 是動態電腦群組。每次選取 Smart Folder 時，Workload Security 都會重新執行其中儲存的查詢，並顯示符合條件的電腦。管理員可利用作業系統、主機名稱、策略、雲端標籤及其他可搜尋的屬性，快速篩選所需的電腦。

Smart Folder 的查詢條件包含：

• Property：要搜尋的電腦屬性。
• Operator：判斷是否符合條件的方式。
• Value：要比對的值。

建立 Smart Folders 後，可在 Workload Security 主控台的不同頁面中用它們篩選電腦，例如產生報告時只納入某個 Smart Folder 中的電腦。

Smart Folders 負責動態篩選，不是存取權限的容器。若要限制管理員可以檢視或修改的電腦，應在角色的 Computer Rights 中指定相應的電腦或電腦群組。詳細設定請參閱 Group computers dynamically with smart folders 與 Define roles for users。

Agent 管理與設定

清理不活躍的 Agent

在電腦生命週期較短的動態環境中，Workload Security 可能很快累積大量已不存在或不再需要管理的電腦記錄，因此需要定期移除這些記錄。

在 Workload Security 主控台中，前往 Administration > System Settings，開啟 Agents 分頁。在 Inactive Agent Cleanup 區段啟用 Delete Agents that have been inactive for，再設定電腦可連續多久未與 Workload Security 通訊，超過後便自動移除。

Inactive Agent Cleanup 每小時檢查一次離線電腦，並移除在指定期間內未與 Workload Security 通訊的電腦。未通訊期間可設為 2 週至 12 個月，每次檢查最多移除 1,000 台電腦；若數量超過上限，後續每小時會繼續移除，直到處理完畢。

由 cloud connector 新增的離線電腦不會被 Inactive Agent Cleanup 移除。若要避免特定電腦被自動移除，可在 Computer 或 Policy 編輯器中前往 Settings > General，並將 Inactive Agent Cleanup Override 設為 Yes。

詳細行為請參閱 Automate offline computer removal with inactive agent cleanup。

啟用 Agent 自我防護

Agent 自我防護可防止本機使用者擅自解除安裝或竄改 Agent。啟用後，使用者若嘗試竄改 Agent，系統可能顯示 Removal or modification of this application is prohibited by its security settings 等訊息。若要更新或解除安裝 Agent 或 Relay，或從命令列建立支援用診斷套件，必須暫時停用 Agent 自我防護。

Agent 自我防護適用於 Windows、Linux 與 macOS Agent。若還要防止本機使用者停止 Agent，以及修改 Agent 相關檔案與 Windows 登錄項目，必須同時啟用 Anti-Malware；但防止解除安裝並不需要啟用 Anti-Malware。

透過 Workload Security 主控台啟用自我防護

在 Computer 或 Policy 編輯器中前往 Settings > General。在 Agent Self Protection 區段，將 Prevent local end-users from uninstalling, stopping, or otherwise modifying the Agent 設為 Yes。

建議同時將 Local override requires password 設為 Yes，並設定驗證密碼。密碼可防止未經授權者使用 dsa_control 命令。設定密碼後，每次執行 dsa_control 命令時，都必須使用 -p 或 --passwd= 提供密碼。

從命令列啟用或停用自我防護

在 Windows Agent 電腦上，以系統管理員身分開啟 Command Prompt，並切換至 Agent 安裝資料夾。Linux Agent 也必須以管理權限執行命令，並切換至 Agent 安裝資料夾。接著使用下列命令啟用或停用自我防護：

dsa_control --selfprotect=1
dsa_control --selfprotect=0 -p <password>

<password> 是先前在 Workload Security 主控台中設定的驗證密碼。命令列無法建立驗證密碼，只能使用已設定的密碼。

在 macOS Agent 電腦上開啟 Terminal，切換為 root，並前往 Agent 安裝資料夾，再使用下列命令：

dsa_control -s 1
dsa_control -s 0 -p <password>

各平台的操作方式及限制請參閱 Configure agent self-protection。

新增額外的 Relay

Workload Security 服務已提供預設 Relay，並將它們放在 Primary Tenant Relay Group 中。只要 Agent 能連線至 Workload Security，通常即可使用這些 Relay。只有在需要降低頻寬成本、縮短更新延遲，或配合特定地理位置與網路區段時，才需要自行部署其他 Relay。

自有 Relay 是啟用 Relay 功能的 Agent，負責將軟體及安全更新重新散佈給其他 Agent。啟用前，須確認該電腦符合 Relay 的系統與網路需求。

新增及指派 Relay

步驟 1

在 Workload Security 主控台中，前往 Administration > Updates > Relay Management，選取 New Relay Group... 並建立新的 Relay Group。預設的 Primary Tenant Relay Group 由 Workload Security 服務管理；自有 Relay 應加入另外建立的群組。

步驟 2

選取 Add Relay...，在 Available Computers 清單中選擇要啟用 Relay 功能的電腦，再選取 Enable Relay and Add to Group。

步驟 3

電腦加入 Relay Group 後，會在 Computers 頁面顯示 Relay 圖示。Workload Security 接著會指示新的 Relay 取得安全與軟體更新。

從 Computers 頁面手動指派 Relay Group

必須為每個 Agent 指定用於取得更新的 Relay Group。您可以手動指派 Relay Group，也可以建立事件型工作，為新加入的 Agent 自動指派。若要手動指派，請在 Computers 頁面選取電腦，然後選取 Actions > Assign Relay Group...，再指定要使用的 Relay Group。

從 Computer 編輯器手動指派 Relay Group

開啟 Computer 編輯器後，也可在 Download Security Updates From 欄位中選取 Relay Group。

透過部署指令碼自動指派 Relay Group

產生部署指令碼時，可在 Relay Group 欄位中指定群組。使用該指令碼啟用的 Agent 會自動使用指定的 Relay Group。

Relay 配置原則

為降低延遲及外部網路或網際網路的頻寬用量，建議將相同地理區域或網路區段中的自有 Relay 放在同一個 Relay Group。

Agent 透過 HTTPS/TCP 4122 從 Relay 取得更新。若自行部署 Relay 的電腦啟用了 Windows Firewall、iptables 或其他主機防火牆，須允許連入 Relay 的監聽通訊埠；預設為 TCP 4122。

詳細規劃方式請參閱 About relays、Deploy more relays 及 Port numbers, URLs, and IP addresses。