一般的な問題のトラブルシューティング
このドキュメントでは、Google Security Operations リモート エージェントのデプロイと運用中に発生する一般的な問題を診断して解決する際に役立つヒントと手順について説明します。
鍵の不一致の問題
この問題は、Google Security Operations とリモート エージェントの秘密鍵が一致しない場合に発生します。この問題を解決するには、エージェント リソースのキーが Siemplify agent_db のキーと一致していることを確認します。
リモート コネクタの障害
リモート コネクタが失敗した場合は、次の手順を行います。
- 統合インスタンスがエージェントに正常にインストールされていることを確認します。
- エージェント ログをエラーレベルで確認して、接続プロセスでエラーが発生していないか確認します。
- 同じコネクタ構成をローカルでテストし、エラーが発生するかどうかを確認します。
インストール エラー: サポートされていないホスト OS または EOL の非互換性
glibc のトラッキング エラーとシステムコール ブロックが原因で新規インストールまたは自動アップグレードが失敗した場合は、次の手順を行います。
- ホスト環境で、最新のシステムコール フックがない可能性がある古いオペレーティング システムが実行されていないことを確認します。
- 最新の公式バージョンを使用して、エンタープライズ Linux ディストリビューションでエージェント環境を再ホストする。
-
ホストがサポートされているプラットフォーム（Debian 12（公式ベース）、RHEL 8.7）であることを確認します。
/etc/os-releaseを確認する: 次のコマンドを実行して、NAME=とVERSION_ID=を探します。cat /etc/os-release- Debian 12 の場合:
NAME="Debian GNU/Linux"とVERSION_ID="12"を探します。 - RHEL 8.7 の場合:
NAME="Red Hat Enterprise Linux"とVERSION_ID="8.7"を探します。
- Debian 12 の場合:
コンテナのセットアップで「最新」ビルドではなく以前のオペレーション レイヤがプルされる
コンテナ設定コマンドを再実行すると、新しくリリースされたソフトウェア ビルドではなく、以前のオペレーション レイヤが誤って pull される場合は、次のコマンドを実行して最新のイメージを明示的に pull します。
Docker の場合:
docker pull us-docker.pkg.dev/siem-ar-public/images/agent:latestPodman の場合:
podman pull us-docker.pkg.dev/siem-ar-public/images/agent:latest
デプロイが最新のソフトウェア リリースで実行されるようにするには、エージェント実行コマンドを実行する前に、常に最新のイメージを pull します。
Docker エージェントのデプロイの失敗
Docker のデプロイが失敗した場合は、次の手順を行います。
- Docker コンテナを削除します。
次のコマンドを実行して、実行中のコンテナを一覧表示します。
docker ps次のコマンドを実行して、失敗したコンテナを削除します。
docker rm -f container_id_or_name
- 画像を削除する:
次のコマンドを実行して、イメージを一覧表示します。
docker images次のコマンドを実行してイメージを削除します。
docker rmi image_id_or_name
- ボリュームを削除します。
次のコマンドを実行して、ボリュームを一覧表示します。
docker volume ls次のコマンドを実行して、ボリュームを削除します。
docker volume rm volume_name
- エージェントを再デプロイします。詳細については、Docker を使用してエージェントを作成するをご覧ください。
エージェントが「エージェントを待機中」ステータスで停止する
エージェントが正常にデプロイされたにもかかわらず、ステータスが「エージェントを待機中」のままになっている場合は、次の手順で問題をトラブルシューティングします。
- ホストの接続を確認する: エージェント ホストマシンのインターネット接続（
curl www.google.comやping 8.8.8.8など）をテストします。これが失敗した場合、問題はホストのインターネット接続にあります。 コンテナの接続性を確認する: ホストテストに合格した場合は、
docker exec -it container_ID bashを使用してコンテナシェルに入り、接続性を再確認します。コンテナに接続がない場合は、ホストマシンで Docker サービスを再起動します（service docker restart）。次のコマンドを実行します。
docker exec -itbash - 以前と同じように接続を確認します。
- 接続性がない場合は、次のコマンドを実行して、ホストマシン（コンテナではない）から Docker サービスを再起動します。
service docker restart 次のコマンドを実行して、コンテナを再起動します。
docker start
コンテナログでエラーを確認する
上記の手順で問題が解決せず、Google SecOps の [Remote agent] ページを更新してもエージェントのステータスが [waiting for agent] のままの場合は、コンテナに再度ログインしてログを取得します。
/var/log/SiemplifyAgent/ディレクトリでログを探します。- ログファイルでエラーを探して、根本原因を特定します。
DNS ネットワーキングの問題
コンテナで DNS の解決の失敗やネットワーク接続の問題が発生した場合は、docker run コマンドに --network host を追加します。ホスト ネットワーク モードを使用すると、コンテナはホストマシンのネットワーク スタックと DNS 構成を直接共有できます。
Docker イメージを読み込めない（IP4 転送が無効になっている）
Google SecOps Docker イメージ（システム）またはエージェントを読み込もうとしたときに CLI でエラーが表示された場合は、IP4 転送が無効になっている可能性があります。有効にしてエージェントを再起動する手順は次のとおりです。
/etc/sysctl.confファイルに次の行を追加します。net.ipv4.ip_forward=1ファイル エディタ（nano など）を使用する必要があります。たとえば、次のように使用します。yum install nano -y次のコマンドを実行して、ネットワーク サービスを再起動します。
systemctl restart network次のコマンドを実行して、Docker サービスを再起動します。
sudo systemctl restart docker次のコマンドを実行して、コンテナが実行されているかどうかを確認します。
docker psコンテナが実行されていない場合は、次のコマンドを実行して、すべてのコンテナ（停止中のコンテナを含む）を一覧表示します。
docker ps -aコンテナが一覧表示されているものの停止している場合は、次のコマンドを実行して起動します。
docker start container_id_or_name- Docker とコンテナを再起動してもエージェントまたはシステムが実行されない場合:
次のコマンドを実行してコンテナを停止します。
docker stop container_id_or_name次のコマンドを実行してコンテナを削除します。
docker rm container_id_or_name次のコマンドを実行してイメージを削除します。
docker rmi image_name- 画像を再度読み込みます。
エージェントのシャットダウンまたは再起動後のエラー
次のコマンドを実行して、インストーラ エージェントの強制起動を行います。
systemctl start supervisord
次のコマンドを実行して、Docker エージェントを強制的に起動します。
docker start
さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。