Agent プロキシ設定リファレンス

このページでは、Foundry ワーカー接続で Agent プロキシエグレスポリシーを介して Agent をネットワークプロキシとして使用する際に利用可能な設定オプションについて説明します。Data Connection の Agentとその一般的な設定オプションをすでに理解していることを前提としています。

プロキシとして使用する Agent は、Foundry ネットワークから直接アクセスできない別のネットワーク内のシステムに Foundry のサービスがアクセスするためのネットワーク経路を提供します。 Foundry がクラウドでホストされている場合、インターネット経由でアクセスできないシステムにアクセスするにはプロキシが必要です。Foundry がプライベートネットワークでホストされている場合、ほかのネットワーク内のシステムにアクセスするにはプロキシが必要です。これには、ほかの方法でアクセスできない場合のパブリックインターネットも含まれることがあります。

Agent プロキシを使用すると、Foundry のアプリケーションは Foundry ネットワーク経由でソースに直接接続しているかのように動作できます。また、複数の Agent を設定してメンテナンスウィンドウを交互に設けることで、ダウンタイムを防ぐことができます。プロキシとして使用する Agent を設定および管理するには、以下のガイドに沿って進めてください。

Data Connection ソースで Agent をプロキシとして使用する

Agent をプロキシとして使用する前に、まず Agent をセットアップする必要があります。Agent ワーカーソースですでに使用している既存の Agent は、追加の設定なしで再利用できます。

Agent のセットアップが完了したら、その Agent を使用して Agent プロキシエグレスポリシーを作成します。その後、ソースを作成して、そのポリシーを割り当てることができます。

Agent プロキシ固有のセキュリティ制御

プロキシ経由の接続で必要なリソースにのみアクセスできるように、いくつかのセキュリティ制御が利用可能です。

セキュリティ制御には、無効にできない必須のものと、デフォルトでは有効になっていない任意のものがあります。

以下のセキュリティ制御設定が利用可能です。

ソース設定の強制適用

Agent プロキシに接続する際、ソースで定義された URL のホスト名とポートによって、アクセス先がそのホスト名とポートのみに制限されます。ほかのホスト名またはポートに接続しようとすると、プロキシから HTTP 403（Unauthorized）レスポンスコードが返されます。

これにより、コード内で接続をインポートして使用する際の、不正な接続を防止します。

このセキュリティ制御のみを使用する場合、特定のソースに Agent を割り当てられるユーザーは、Agent ホストから到達可能なすべてのシステムへの接続についても信頼できるユーザーであることを確認してください。

Agent 許可リスト（Foundry）

Foundry で許可リストを設定すると、割り当てられたソースに関係なく、特定の Agent の接続先を特定の IP アドレスまたは CIDR ブロックに制限できます。

これを設定するには、Agent 設定に移動し、設定の管理セクションの詳細オプションを切り替えます。YAML ファイルで、security ブロックと同じインデントレベルに agentProxyConfiguration ブロックを追加します。

Agent の接続を許可する CIDR ブロックとポートを列挙します。例：

Copied!
1
2
3
4
5
6
7
agentProxyConfiguration:
  allowListedCidrs:
    - cidrBlock: '192.168.1.1/32'
      port: 7000
      endPort: 9000
    - cidrBlock: '192.168.2.2/24'
      port: 443

Agent 許可リスト（ローカルファイル）

Foundry の Agent 許可リストと同じ設定を Agent ホスト自体のファイルにも設定でき、Foundry のユーザーが設定を編集できないようにします。

Agent 許可リストをローカルで設定するには、以下の手順に沿って進めます。

1. Agent のホストに SSH で接続します。
2. magritte-bootvisor-<version> が含まれるディレクトリ（ルートフォルダー）内に、agentProxyConfig という名前のフォルダーを作成します。
3. 新しく作成した agentProxyConfig フォルダー内に、agentProxyConfig.yml という名前のファイルを作成します。
4. agentProxyConfig.yml ファイルと agentProxyConfig フォルダーは、root ユーザーで作成する必要があります。また、Agent がこのファイルまたはフォルダーに書き込めないように、ファイル権限を設定する必要があります。agentProxyConfig.yml ファイルが存在し、Agent がそのファイルに書き込める場合、または親ディレクトリのいずれかに Agent が書き込める場合、Agent は Agent プロキシ機能を実行しません。
5. このファイルの内容は、Agent 設定インターフェースで利用可能な設定と同じです。

例：

Copied!
1
2
3
4
5
6
allowListedCidrs:
  - cidrBlock: '192.168.1.1/32'
    port: 7000
    endPort: 9000
  - cidrBlock: '192.168.2.2/24'
    port: 443

Agent ホストのファイアウォール

どの Agent でも同様に、ホストにファイアウォールを設定し、接続を必要なもののみに制限することを推奨します。

接続プールの設定

Agent プロキシは、リクエストを処理するための接続プールを維持します。ワークロードに基づいてパフォーマンスを最適化するために、接続プールのサイズを設定できます。

接続プールを設定するには、Agent 設定に移動し、設定の管理セクションの詳細オプションを切り替えます。YAML ファイルで、agentProxyConfiguration ブロック内に接続プールの設定を追加します。

Copied!
1
2
3
agentProxyConfiguration:
  maxConnections: 250
  coreConnections: 100