Tanium を利用したエンドポイント管理において、パッチ配信の制御は非常に重要な運用ポイントの一つです。
特に、業務への影響を最小限に抑えながら安全にアップデートを適用するためには、「どの端末に配信するか」だけでなく「どの端末には配信しないか」という除外設定が欠かせません。
一般的には Computer Group や対象条件で制御することが多いですが、カスタムタグを使うことで、個別の端末や特定の条件に応じて簡単に除外対象を管理できるようになります。
概要
本記事では、Tanium Patch における配信制御の一手法として、「カスタムタグを用いた除外設定」の実装をご紹介します。
本記事で解説する主要なポイントは以下のとおりです。
- カスタムタグを用いて端末に任意の属性（例：Patch除外フラグ）を付与する方法
- Patch配信のターゲット設定において、カスタムタグを条件として除外する構成
この仕組みを導入することで、以下のような課題に対応できるようになります。
- 特定業務端末や検証中端末を一時的にパッチ配信から除外
- 影響調査中の端末を除外・再対象化
カスタムタグの付与手順
以下は、対象端末にタグを付与する手順です。今回は「 Exclude_QU_Tags 」という名前のタグを付与します。
1. Tanium管理コンソールにログインします。
2. Modules > Interact を開き Ask a Question にて以下を実行し現在のタグ状況を確認します。
Get Computer name and custom tags from all machines with Computer Name contains ホスト名
3.「 Custom Tags 」を確認し「 No Tags 」が表示された場合はタグは設定されていない状態です。
4. チェックを入れ、「 Deploy Action 」をクリックします。
5. Action Deployment にて以下を入力します。
a：Custom Tagging - Add Tags
b：Exclude_QU_Tags ※タグ名を入力します
複数のタグを設定したい場合は、「 Add tags 」にスペース区切りで入力します。
Exclude_QU_Tags Exclude_QU_Tags2
6. 画面を下にスクロールして「 Show Preview To Continue 」をクリックします。
7. 画面を下にスクロールして「 Deploy Action 」をクリックします。
8. 「 Confirm 」をクリックします。
9. 「 Yes 」をクリックします。
10. 「 Action Status 」画面にて、「 Completed 」が 1 になるまで待ちます。
11. Modules > Interact を開き Ask a Question にて以下を実行しタグ状況を確認します。
Get computer name and custom tags from all machines with Computer Name contains ホスト名
12. 「 Exclude_QU_Tags 」が設定されたことを確認します（反映に時間を要することがあります）。
タグを追加で付与したい場合は、上記手順を繰り返します。
以上で、カスタムタグの付与は終了です。
カスタムタグの削除手順
以下は、対象端末に付与されたタグを削除する手順です。今回は「 Exclude_QU_Tags2 」という名前のタグを削除します。
1. Tanium管理コンソールにログインします。
2. Modules > Interact を開き Ask a Question にて以下を実行し現在のタグ状況を確認します。
Get Custom Tags from all machines with Computer Name contain ホスト名
3. 削除したいタグを選択し「Deploy Action」をクリックします。
4. Action Deployment で 「 Deployment Package 」に「 Custom Tagging - Remove Tags 」を入力します。
5. 画面を下にスクロールし、「 Show Preview To Continue 」をクリックします。
6. 画面下の「 Deploy Action 」をクリックします。
7. 「 Confirm 」をクリックします。
8. 「 Yes 」をクリックします。
9. 「 Action Status 」画面にて、「 Completed 」が 1 になるまで待ちます。
以上で、カスタムタグの削除は終了です。
カスタムタグを使ったPatch配信設定
以下は、「 Exclude_QU_Tags 」タグが付与されていない端末に対して、PatchをDeployする手順です。
1. Patch > Patchesを開き、適用するPatchをクリックします。
2. 「 Install 」をクリックします。
3. 「 Endpoints to Target 」にて「 Question Criteria 」をクリックし、配信先の端末を設定していきます。
4. 「 Filter Builder 」タブにて、「 Add Row 」をクリックします。
5. 「 Filter Builder 」タブをクリックし「 Add Row 」をクリックします。
6. 以下のパラメータを入力します。本パラメータは、「 "Exclude_QU_Tags" というタグが設定されていない端末」を指定しています。
a：Custom tag Exists
b：is equal to
c：false
d：Exclude_QU_Tags
7. 「 Apply 」をクリックし、「 Add 」をクリックします。
8. 「 Set Limiting Groups 」をクリックします。
9. Deployするグループを選択し「 Save 」をクリックします。以下はグループ名に「test」が含まれるものを検索しています。
10. 画面の一番下までスクロールして「 Preview to Continue 」をクリックします。
11. 画面を一番下までスクロールして「 Deploy 」をクリックします。
12. 「 Yes 」をクリックします。
以上で終了です。
おわりに
本記事では、Tanium Patch における配信制御の一手法として、カスタムタグを用いた除外設定をご紹介しました。
本記事が、Taniumを活用したパッチ配信の制御の効率化や柔軟な運用に役立つ内容になっていることを願います。
