特権ユーザをウイルススキャン操作に制限します。通常のユーザーは、特権ユーザー資格証明を使用しないようにしてください。この制限は、Active Directoryの特権ユーザーのログイン権限をオフにすることで実現できます。
特権ユーザーは、Administratorsグループやbackup operatorsグループなど、ドメイン内で多数の権限を持つユーザーグループに属している必要はありません。管理者ユーザーは、ストレージシステムによってのみ検証され、Vscanサーバ接続の作成およびウイルススキャン用のファイルへのアクセスが許可される必要があります。
Vscanサーバを実行しているコンピュータは、ウイルススキャンの目的でのみ使用してください。一般的な使用を禁止するには、これらのマシンでWindowsターミナルサービスおよびその他のリモートアクセスプロビジョニングを無効にし、これらのマシンに新しいソフトウェアをインストールする権限を管理者のみに付与します。
Vscanサーバはウイルススキャン専用とし、バックアップなどの他の操作には使用しないでください。 Vscanサーバを仮想マシン (VM) として実行することもできます。その場合は、VMに割り当てられているリソースが共有されておらず、ウイルススキャンを実行するのに十分なリソースがあることを確認します。ウイルス対策エンジンの要件については、http://www.symantec.com/business/support/index?page=home [Symantec^] を参照してください。
リソースのボトルネックを回避するために、Vscanサーバーに十分なCPU、メモリ、およびディスク容量を提供します。ほとんどのVscanサーバーは、複数のCPUコアサーバーを使用し、CPU間で負荷を分散するように設計されています。ウイルス対策エンジンの要件については、http://www.symantec.com/business/support/index?page=home [Symantec^] を参照してください。
Fujitsuは、スキャントラフィックが他のクライアントネットワークトラフィックの影響を受けないように、SVMからVscanサーバへの接続にプライベートVLANを備えた専用ネットワークを使用することを推奨します。Vscanサーバ上のアンチウイルスVLANおよびSVM上のデータLIF専用の個別のNICを作成します。この手順により、ネットワークの問題が発生した場合の管理とトラブルシューティングが簡素化されます。 AVトラフィックは、プライベートネットワークを使用して分離する必要があります。AVサーバは、次のいずれかの方法でドメインコントローラ (DC) およびクラスタ化されたONTAPと通信するように設定する必要があります。
- DCは、トラフィックを分離するために使用されるプライベートネットワークを介してAVサーバと通信する必要があります。
- DCおよびAVサーバは、CIFSクライアント・ネットワークとは異なる別のネットワーク (前述のプライベート・ネットワークではない) を介して通信する必要があります。

AV通信でKerberos認証を使用するには、プライベートLIF用のDNSエントリと、プライベートLIF用に作成されたDNSエントリに対応するDC上のサービスプリンシパル名を作成します。この名前は、LIFをAVコネクタに追加するときに使用します。DNSは、AVコネクタに接続された各プライベートLIFに対して一意の名前を返すことができる必要があります。

重要: Vscanトラフィック用のLIFがクライアントトラフィック用のLIFとは異なるポートに設定されている場合、ポート障害が発生すると、Vscan LIFは別のノードにフェイルオーバーする可能性があります。この変更により、新しいノードからVscanサーバーに到達できなくなり、ノードでのファイル操作のスキャン通知が失敗します。 Vscanサーバがノード上の少なくとも1つのLIFを介して到達可能であり、そのノード上で実行されるファイル操作のスキャン要求を処理できることを確認します。

少なくとも1GbEネットワークを使用して、FujitsuストレージシステムとVscanサーバを接続します。
複数のVscanサーバーがある環境では、同様の高性能ネットワーク接続を持つすべてのサーバーを接続します。Vscanサーバーを接続すると、負荷分散が可能になり、パフォーマンスが向上します。
リモート・サイトやブランチ・オフィスの場合、Fujitsuでは、リモートのVscanサーバではなくローカルのVscanサーバを使用することを推奨しています。これは、ローカルのVscanサーバが高レーテンシーに適しているためです。コストが重要な場合は、ラップトップまたはPCを使用して適度なウイルス対策を行います。ボリュームまたはqtreeを共有し、リモートサイトの任意のシステムからそれらをスキャンすることによって、定期的な完全ファイルシステムスキャンをスケジュールできます。
複数のVscanサーバを使用して、ロードバランシングと冗長性のためにSVM上のデータをスキャンします。CIFSワークロードとその結果のアンチウイルストラフィックの量は、SVMごとに異なります。ストレージコントローラ上のCIFSおよびウイルススキャンの遅延を監視します。時間の経過に伴う結果の傾向。Vscanサーバ上のCPUまたはアプリケーションのボトルネックが原因でCIFSレーテンシーとウイルススキャンレーテンシーが増加し、トレンドのしきい値を超えると、CIFSクライアントの待機時間が長くなる可能性があります。Vscanサーバを追加して負荷を分散します。
最新バージョンのAntivirus Connectorをインストールします。
ウイルス対策エンジンと定義を最新の状態に保ちます。更新の頻度に関する推奨事項については、https://login.broadcom.com/ [Symantec^] を参照してください。
マルチテナント環境では、VscanサーバとSVMが同じドメインまたは信頼できるドメインの一部である場合、スキャナプール (Vscanサーバのプール) を複数のSVMで共有できます。
感染したファイルのAVソフトウェアポリシーは、削除または検疫に設定する必要があります。これは、ほとんどのAVベンダーによって設定される既定値です。`vscan-fileop-profile`が`write_only`に設定されていて、感染したファイルが見つかった場合、ファイルを開いてもスキャンはトリガーされないため、ファイルは共有に残り、開くことができます。AVスキャンは、ファイルが閉じられた後にのみトリガーされます。
scan-engine timeout`の値は、`scanner-pool request-timeout`より小さくなければなりません。高い値に設定すると、ファイルへのアクセスが遅延し、最終的にタイムアウトする可能性があります。これを回避するには、`scan-engine timeout`を`scanner-pool request-timeout`の値より5秒小さい値に設定します。「スキャンエンジンタイムアウト」設定の変更方法については、スキャンエンジンベンダーのマニュアルを参照してください。`scanner-pool timeout`を変更するには、アドバンスモードで次のコマンドを使用し、`request-timeout`パラメータに適切な値を指定します。`vserver vscan scanner-pool modify
オンアクセススキャンのワークロードに合わせてサイズが設定され、オンデマンドスキャンの使用が必要な環境では、既存のAVインフラストラクチャの負荷が増加しないように、オンデマンドスキャンジョブをオフピーク時間にスケジュールすることをお勧めします。