こんにちは。ネットワールドSEの林です。
FortiManagerでは、ADOM（Administrative Domain）作成時に 標準モード（Normal Mode）または バックアップモード（Backup Mode）を選択することができます。
本ブログでは、FortiManagerにおけるバックアップモードについてご紹介していきたいと思います。
標準モード（Normal Mode）とは
標準モードはFortiManagerのデフォルトモードとなり、FortiManagerがFortiGateの設定を管理するトップダウン型の管理モードです。
このモードは、FortiManager上からFortiGateに関するポリシーやオブジェクト、システム設定を定義し、 複数のFortiGateへ一括配信することができます。
標準モードについては本ブログでは触れませんが、標準モードに関するブログも現在執筆中なので今しばらくお待ちください。
バックアップモード（Backup Mode）とは
バックアップモードは、FortiGateからFortiManagerに対し設定内容をアップロードするボトムアップ型の管理モードです。
このモードは、主にFortiGateのコンフィグファイルの世代管理やファームウェアバージョンの管理のみを行うことを目的としたモードとなり、
FortiGateの設定変更は、FortiGate側で直接行うことを想定しています。
そのため、標準モードのようにFortiGateに対し設定変更を行うことは出来ません。（コンフィグの適用やスクリプトの実行はバックアップモードでも可能）
※以下で紹介するバックアップモードで利用できる機能は、標準モードでも利用可能です。
バックアップモードで使える機能① コンフィグファイルのリビジョン管理
FortiGateのコンフィグファイルを世代管理することができます。FortiGateの設定変更後に自動でコンフィグバックアップを取得する機能であったり、世代間の設定比較、旧世代のコンフィグの再適用等、実用的で便利な機能を有しています。
バックアップモードで使える機能② スクリプト実行
複数のFortiGateに対し、共通のコマンドを実行することが可能です。
共通の設定変更はもちろんですが、共通の情報取得コマンドを実行し、その結果はFortiManager上で出力結果として確認することができます。
例えば、特定のステータスを複数台のFortiGateに対し確認する必要が生じた等のケースで活躍してくれるのではないかと思います。
バックアップモードで使える機能③ ファームウェアバージョンの管理
管理下にある複数台のFortiGateやFortiAP,FortiSwitch に対し、一括でバージョンのアップグレードを行うことができます。
ただし、トラブルも想定し、まずは少数の拠点で試してから実施する等、慎重に行うことを個人的にお勧めいたします。
FortiGate管理機能における標準モードとバックアップモードの機能比較
| 項目 | 標準モード（Normal Mode） | バックアップモード（Backup Mode） |
|---|---|---|
| ポリシー設定の管理（ポリシーパッケージ） | 〇 | × |
| システム設定の管理（プロビジョニングテンプレート） | 〇 | × |
| ファームウェアバージョンの管理（ファームウェアテンプレート） | 〇 | 〇 |
| スクリプトの実行 | 〇 | 〇 |
| コンフィグファイルのリビジョン管理 | 〇 | 〇 |
バックアップモードの魅力
上記機能比較を見た時に、バックアップモードの存在意義や利用イメージが分からないといった感想を抱いた方も多いと思いますが、
私の意見としまして、バックアップモードは導入しやすさが良さだと考えています。
というのも、標準モードによるFortiGate管理は、便利な反面、管理者に以下の負担が発生するのではないかと考えているからです。
①FortiGateの構成、管理、運用に制限を設ける必要がある
複数のFortiGateを一括で設定の変更(ポリシーパッケージ機能)を実施するにあたっては、対象のFortiGateのネットワーク構成や通信要件、運用方法をある程度統一する必要があります。
そのため、拠点ごとにネットワーク構成が大きく異なっていたり、拠点ごとに特有の通信要件がある場合には、標準モードによる統一化が困難である可能性があります。
また、仮に統一化が出来たとして、今後の運用においてもこの統一性をキープする必要があります。
これはつまり、運用中に一部の拠点で生じた新しい通信要件やネットワーク構成の変更を容易に進めることが出来なくなることを意味します。
②FortiManagerの操作習得が必要である
標準モードにおけるFortiGateの設定変更は、FortiGateに直接行わず、常にFortiManager経由で行うことが推奨されます。
そのため、FortiManagerの操作を覚える必要があります。
また、複数のFortiGateに対し一括で設定変更を行えることは、非常に便利ですが、その反面、FortiManager上での一つの誤った操作が複数のFortiGateに影響してしまうことを意味し、FortiManagerを操作する管理者には、FortiManagerの操作に対する正しい理解と慎重さが求められることになります。
標準モードで誤ってFortiGateの設定を配信してしまう事故を防ぐためにも、設定配信機能をそもそも使わないのであれば、機能が無効化されているバックアップモードを利用するのが安全という考え方もあると思います。
締め
今回はFortiManagerのバックアップモードについてご紹介させて頂きました。
標準モードに比べて、機能制限がかかりますが、その分導入のしやすさ、運用のしやすさが売りのモードかなと思っています。
また、標準モードに関する記事も現在執筆中ですので、そちらも楽しみに待っていただけると幸いです。
それでは、今回はこの辺で失礼します。
ありがとうございました。
※本ブログの内容について、その正確性、完全性、有用性を保証するものではありません。本情報の利用により生じたいかなる損害についても、当社は責任を負いかねます。実際の運用にあたっては、必ずご自身の環境で十分な検証を実施してください。
