Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris. # Konfigurasikan alat penemuan ## Akses konsol alat penemuan 1. Dalam akses browser web:`https://{{ip_address}}:5000`, di {{ip\_address}} mana alamat IP alat penemuan dari Deploy Discovery Tool. Alat penemuan menggunakan sertifikat yang ditandatangani sendiri untuk koneksi HTTPS yang menghasilkan peringatan keamanan. Pilih **Terima risiko dan lanjutkan** ke konsol alat penemuan. 1. Jika Anda mengakses konsol alat penemuan untuk pertama kalinya, buat kata sandi login alat penemuan. Buat kata sandi, yang akan Anda gunakan untuk login di masa mendatang. **penting** Ingat kata sandi ini - tidak ada mekanisme pemulihan kata sandi. ## Mengakses alat penemuan VM + Alat penemuan VM datang secara default dengan nama pengguna dan kata sandi (“penemuan”, “kata sandi”). Untuk keamanan yang kuat, kami sarankan Anda memperbarui kata sandi dengan menggunakan `sudo passwd discovery` setelah masuk ke VM melalui konsol hypervisor Anda (misalnya, VSphere Client for VMware atau Manager for). Hyper-V Hyper-V + Akses SSH dinonaktifkan secara default. Pengguna dapat menggunakan pra-konfigurasi `enablessh` dan `disablessh` alias untuk akses enable/disable SSH ke alat penemuan VM. Pengguna dapat SSH ke VM melalui `ssh discovery@` setelah mengaktifkan akses SSH. Pengguna didorong untuk menjaga akses SSH dinonaktifkan sebagian besar waktu dan mengaktifkannya hanya saat diperlukan secara aktif. Perubahan kata sandi diberlakukan saat menjalankan`enablessh`. + Untuk mengakses direktori data alat penemuan di`/home/ec2-user/.local/share/DiscoveryTool`, kami sarankan beralih ke `ec2-user` dengan menjalankan`sudo su ec2-user`. ## mengonfigurasi autentikasi Kerberos Otentikasi Kerberos adalah metode yang disarankan untuk menghubungkan ke server Windows dari alat penemuan. Alat penemuan VM menggunakan pustaka Amazon Linux 2023 Kerberos asli untuk mengautentikasi terhadap domain Direktori Aktif Anda. Berikut ini adalah poin-poin penting tentang otentikasi Kerberos pada alat penemuan VM: + Gunakan `kinit` perintah untuk mendapatkan tiket Kerberos dan `klist` untuk memverifikasi tiket. + File konfigurasi Kerberos terletak di. `/etc/krb5.conf` + Sebelum Anda mengonfigurasi alat penemuan, verifikasi bahwa `kinit` berhasil dari CLI pada alat penemuan VM. ### Prasyarat Kerberos Sebelum Anda mengonfigurasi otentikasi Kerberos, verifikasi bahwa Anda memiliki informasi dan konektivitas jaringan berikut. 1. Dapatkan informasi berikut dari administrator Direktori Aktif Anda: + Nama ranah Kerberos (biasanya nama domain Anda dalam huruf besar, misalnya,). `EXAMPLE.COM` + Nama host atau alamat IP dari Key Distribution Center (KDC), yang biasanya merupakan pengontrol domain (misalnya,`dc01.example.com`). + Akun layanan dengan izin untuk mengautentikasi terhadap server Windows target. 1. Verifikasi bahwa alat penemuan VM memiliki konektivitas jaringan ke yang berikut: + KDC pada port 88 (TCP dan UDP) untuk otentikasi Kerberos. + Target server Windows pada port WinRM (5985 untuk HTTP, 5986 untuk HTTPS). ### Konfigurasikan Kerberos Selesaikan langkah-langkah berikut untuk mengonfigurasi otentikasi Kerberos pada alat penemuan VM. 1. SSH ke alat penemuan VM. ``` ssh discovery@ ``` 1. Edit file konfigurasi Kerberos di. `/etc/krb5.conf` ``` sudo nano /etc/krb5.conf ``` Tambahkan konfigurasi berikut, ganti nilai placeholder dengan detail lingkungan Anda. ``` [libdefaults] default_realm = EXAMPLE.COM dns_lookup_realm = false dns_lookup_kdc = true [realms] EXAMPLE.COM = { kdc = dc01.example.com } [domain_realm] .example.com = EXAMPLE.COM example.com = EXAMPLE.COM ``` **penting** Kerberos peka huruf besar/kecil. Nama ranah harus dalam huruf besar (misalnya,`EXAMPLE.COM`, tidak`example.com`). Nama domain di `[domain_realm]` bagian harus dalam huruf kecil. **Beberapa domain Direktori Aktif** Alat penemuan mendukung beberapa kredensyal Kerberos untuk domain Active Directory yang berbeda. Setiap kredensi mengautentikasi secara independen, sehingga Anda dapat mengonfigurasi beberapa kredensyal secara normal dan isolasi otomatis. Jika Anda memiliki server di beberapa domain, tambahkan entri untuk setiap ranah dalam file Anda`/etc/krb5.conf`: ``` [libdefaults] default_realm = DEV.COMPANY.COM dns_lookup_realm = false dns_lookup_kdc = true [realms] DEV.COMPANY.COM = { kdc = dc01.dev.company.com } PROD.COMPANY.COM = { kdc = dc01.prod.company.com } [domain_realm] .dev.company.com = DEV.COMPANY.COM dev.company.com = DEV.COMPANY.COM .prod.company.com = PROD.COMPANY.COM prod.company.com = PROD.COMPANY.COM ``` 1. Verifikasi bahwa Anda dapat memperoleh tiket Kerberos dengan menjalankan perintah. `kinit` ``` kinit username@REALM.COM ``` Masukkan kata sandi saat diminta. Jika perintah selesai tanpa kesalahan, otentikasi berhasil. 1. Verifikasi tiket dengan menjalankan `klist` perintah. ``` klist ``` Output yang diharapkan mirip dengan yang berikut ini. ``` Ticket cache: FILE:/tmp/krb5cc_1000 Default principal: username@REALM.COM Valid starting Expires Service principal 01/01/2025 12:00:00 01/01/2025 22:00:00 krbtgt/REALM.COM@REALM.COM ``` 1. Konfigurasikan alat penemuan dengan prinsip case-sensitive yang sama dengan yang Anda gunakan `kinit` (misalnya,`username@REALM.COM`). `krb5.conf`Konfigurasi eksplisit mungkin tidak diperlukan jika lingkungan Anda memiliki catatan DNS SRV yang dikonfigurasi untuk penemuan layanan Kerberos. [Untuk informasi lebih lanjut tentang opsi konfigurasi Kerberos, lihat dokumentasi [MIT Kerberos krb5.conf dan contoh file krb5.conf](https://web.mit.edu/kerberos/krb5-1.12/doc/admin/conf_files/krb5_conf.html).](https://web.mit.edu/kerberos/krb5-1.12/doc/admin/conf_files/krb5_conf.html#sample-krb5-conf-file) ### Temukan konfigurasi Kerberos dari mesin yang bergabung dengan domain Jika Anda tidak memiliki detail konfigurasi Kerberos, Anda dapat mengambilnya dari mesin Windows yang bergabung ke domain. Jalankan perintah berikut dari prompt perintah pada mesin yang bergabung dengan domain. Untuk menemukan nama domain, jalankan perintah berikut. ``` echo %USERDNSDOMAIN% ``` Contoh output: ``` EXAMPLE.COM ``` Untuk menemukan nama host pengontrol domain, jalankan perintah berikut. ``` nltest /dsgetdc:EXAMPLE.COM ``` Contoh output: ``` DC: \\dc01.example.com Address: \\10.0.1.100 Dom Guid: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx Dom Name: EXAMPLE.COM Forest Name: example.com Dc Site Name: Default-First-Site-Name Our Site Name: Default-First-Site-Name Flags: 0xe00033fd The command completed successfully ``` Petakan output ke `krb5.conf` konfigurasi Anda sebagai berikut: + **Realm** — Gunakan nilai dari `%USERDNSDOMAIN%` huruf besar (misalnya,`EXAMPLE.COM`). + **KDC** — Gunakan nama host DC dari `nltest` output (misalnya,`dc01.example.com`). ## Konfigurasikan akses vCenter 1. Pada halaman **alat Discovery**, di bawah **Langkah 1. Konfigurasikan sumber penemuan**, pilih **Konfigurasikan sumber**. 1. **Pada halaman **Konfigurasi sumber penemuan**, berikan **nama Ramah, **vCenter**, Nama** **Pengguna FQDN/IP**, dan Kata Sandi.** 1. Pilih **Simpan konfigurasi**. Alat penemuan mulai mengumpulkan informasi vCenter, seperti yang dijelaskan dalam Inventaris [Ditemukan](https://docs.aws.amazon.com/transform/latest/userguide/discovery-tool-data-collection.html#discovery-tool-inventory). Setelah konfigurasi awal pilih **Edit akses vCenter** di bingkai **status alat Discovery** untuk mengubah pengaturan akses vCenter Anda. Alat penemuan mengumpulkan dari semua server vCenter yang dikonfigurasi secara paralel. Jika satu server vCenter tidak dapat dijangkau selama pengumpulan, alat melaporkan keberhasilan sebagian dan terus mengumpulkan dari server vCenter yang tersisa. Jika VM muncul di beberapa server vCenter (misalnya, karena host ESXi bersama atau cross-vCenter vMotion), alat penemuan secara otomatis menghapus duplikasi VM. Setiap VM unik hanya muncul sekali dalam inventaris. ## Konfigurasikan Hyper-V akses 1. Pada halaman **alat Discovery**, di bawah **Langkah 1. Konfigurasikan sumber penemuan**, pilih **Konfigurasikan sumber**. 1. ****Pada halaman **Konfigurasi sumber penemuan**, berikan **nama yang ramah**, **FQDN host atau alamat IP**, **jenis otentikasi (NTLM atau Kerberos), nama pengguna WinRM, dan kata sandi WinRM**.**** 1. Pilih **Simpan konfigurasi**. Alat penemuan mulai mengumpulkan Hyper-V informasi, seperti yang dijelaskan dalam [Inventaris yang ditemukan](https://docs.aws.amazon.com/transform/latest/userguide/discovery-tool-data-collection.html#discovery-tool-inventory). Koleksi dimulai secara otomatis setelah Anda menyimpan kredensialnya. Untuk cluster Hyper-V failover, Anda dapat menambahkan beberapa host di cluster yang sama. Alat ini secara otomatis menghapus duplikasi VM yang muncul di lebih dari satu host. ## Impor server 1. Arahkan ke halaman **Impor server** dari beranda alat Discovery. 1. Siapkan file CSV dengan kolom berikut: `hostname_or_ip` (wajib), `os_credential_name` (opsional), dan `oracle_credential_name` (opsional). + `hostname_or_ip`Nilai harus berupa alamat IPv4 yang valid atau nama domain yang sepenuhnya memenuhi syarat (FQDN). + `os_credential_name`Nilai, jika disediakan, harus sesuai dengan nama ramah kredensi OS yang sudah Anda konfigurasikan (SSH, WinRM, atau SNMP). Biarkan kosong untuk server di mana Anda belum mengkonfigurasi kredensi OS. + `oracle_credential_name`Nilai, jika disediakan, harus sesuai dengan nama ramah kredensi Oracle yang sudah Anda konfigurasikan. 1. Unggah file CSV. Alat ini memvalidasi semua baris dan menolak file jika ada baris yang tidak valid. Setelah impor berhasil, alat secara otomatis memulai pengumpulan metrik database, jaringan, dan OS untuk server yang diimpor, jika kredensyal OS dikonfigurasi. Jika Anda mengunggah file CSV lain, catatan yang ada diperbarui tanpa membuat duplikat dan catatan baru digabungkan ke dalam inventaris. ## Impor otoritas sertifikat yang ditandatangani sendiri ke alat penemuan (Opsional) Ini diperlukan saat Anda menggunakan WinRM melalui HTTPS dan server target menggunakan sertifikat WinRM HTTPS yang ditandatangani oleh Otoritas Sertifikat (CA) yang ditandatangani sendiri, dan Anda ingin mengaktifkan “Validasi sertifikat SSL server” pada alat penemuan. ### Prasyarat 1. Self-signed Sertifikat CA yang digunakan untuk menandatangani sertifikat WinRM HTTPS pada server target 1. Sertifikat dalam format PEM (ekstensi.pem atau .crt) Untuk mengimpor otoritas sertifikat yang ditandatangani sendiri pada alat penemuan VM: 1. Alat Ssh ke Discovery VM 1. Tempatkan sertifikat CA yang menandatangani sertifikat WinRM server target Anda ke direktori trust store `/etc/pki/ca-trust/source/anchors/` pada alat penemuan VM. Sebagai contoh: `sudo cp winrm-ca.pem /etc/pki/ca-trust/source/anchors/winrm-ca.pem`. Catatan: Jika server target Anda menggunakan sertifikat yang ditandatangani oleh CA yang berbeda, salin semua sertifikat CA yang relevan ke direktori ini. 1. Perbarui toko kepercayaan sertifikat: `sudo update-ca-trust` 1. Reboot VM 1. (Opsional) Untuk memverifikasi bahwa sertifikat telah berhasil diimpor, Anda dapat menjalankan perintah berikut. `sudo trust list —filter=ca-anchors | grep -A 5 ""` Lihat [Instalasi dan konfigurasi untuk Windows Remote Management](https://learn.microsoft.com/en-us/windows/win32/winrm/installation-and-configuration-for-windows-remote-management) ## Konfigurasikan alat penemuan untuk akses OS Konfigurasikan akses OS sehingga alat penemuan dapat: + Temukan database untuk melakukan penilaian basis data dan untuk membantu migrasi VM, + Lacak koneksi jaringan antar server dalam inventaris Anda, termasuk proses yang terkait dengan setiap koneksi, untuk membantu dalam pemetaan ketergantungan aplikasi dan perencanaan gelombang. Hanya koneksi di mana kedua titik akhir berada dalam inventaris alat penemuan yang disertakan. **Aktifkan alat penemuan OS Access** 1. Arahkan ke halaman **akses Siapkan OS** untuk menyediakan kredensyal Windows dan Linux. 1. Pilih protokol yang ingin Anda tambahkan kredensialnya. 1. Berikan kredensyal yang diperlukan untuk protokol yang dipilih. 1. Pilih **Auto-connect**untuk mengaktifkan alat penemuan untuk mencoba semua kredensyal yang disediakan di server yang ditemukan hingga kredensyal yang cocok ditemukan untuk setiap server. Lihat [Menggunakan Auto-Connect Fitur Dengan Hati-hati](discover-tool-security.md#auto-connect-caution) rekomendasi keamanan penting terkait fitur sambungkan otomatis. 1. Pilih **Siapkan dan sambungkan**. Ketika proses pencocokan OS selesai, Anda melihat pesan bahwa pengumpulan data sedang berlangsung, dan kesalahan terkait server yang kredensialnya cocok tidak ditemukan. ### Pengaturan protokol yang didukung Anda harus mengatur protokol WinRM, SSH, dan SNMP pada server target agar alat penemuan dapat berkomunikasi dengan mereka. #### Mengatur WinRM dan WMI WinRM diinstal secara otomatis dengan semua versi sistem operasi Windows yang didukung saat ini. Untuk memverifikasi atau mengedit konfigurasi WinRM, gunakan alat baris `winrm` perintah: + Verifikasi pendengar WinRM yang diinstal: `winrm enumerate winrm/config/listener` + Verifikasi konfigurasi WinRM: `winrm get winrm/config` + Contoh perintah untuk mengatur WinRM: `winrm quickconfig -transport:https` **Pelabuhan Pendengar** Port HTTP default adalah 5985; HTTPS adalah 5986. Anda dapat menggunakan port lain sesuai kebutuhan. Port harus terbuka antara alat penemuan dan server target. **Enkripsi** Alat penemuan menggunakan komunikasi WinRM terenkripsi. Kami menyarankan agar pendengar WinRM di server target juga menggunakan enkripsi: `winrm set winrm/config/service '@{AllowUnencrypted="false"}'` **NTLM vs Kerberos** Protokol otentikasi WinRM Kerberos dan NTLM didukung oleh alat penemuan. NTLM hanya dapat digunakan dengan HTTPS dan Kerberos dapat digunakan dengan HTTP atau HTTPS. **Persyaratan WMI** Alat penemuan menanyakan ruang nama WMI berikut. Akun WinRM memerlukan akses baca ke setiap namespace yang relevan dengan modul koleksi Anda: | Ruang nama WMI | Digunakan oleh | | --- | --- | | root\\cimv2 | Metrik OS, metadata Hyper-V host, koleksi SQL Server | | root\\virtualization\\v2 | Hyper-V Persediaan VM | | root\\StandardCIMV2 | Koleksi jaringan | | root\\Microsoft\\SqlServer\\ComputerManagement\* | Koleksi SQL Server | | root\\Microsoft\\SqlServer\\ReportServer\\\* | Koleksi SQL Server (SSRS) | Untuk pengumpulan jaringan, pastikan kondisi ini terpenuhi: + Izinkan konektivitas jaringan melalui ICMP + Izinkan konektivitas jaringan melalui port TCP 135 \+ rentang port TCP sementara (49152 - 65535) + Nonaktifkan UAC + Izin DCOM jarak jauh diatur + Buat akun layanan khusus dengan izin minimal yang diperlukan + Izin namespace WMI disiapkan untuk akun Windows dengan ruang nama:, kelas `\\root\\standardcimv2` `MSFT_NetTCPConnection` Untuk koleksi SQL Server, akun Windows (lokal atau domain) milik **Grup Administrator Lokal** diperlukan karena persyaratan izin objek WMI yang kompleks. ### Menyiapkan SSH + Port default adalah 22. Port khusus didukung. Port yang dikonfigurasi harus terbuka antara alat penemuan dan server target. + Agar pengumpulan jaringan SSH berfungsi dengan baik, sediakan pengguna yang dikonfigurasi untuk sudo tanpa kata sandi. + Pastikan bahwa perintah berikut tersedia di server Linux target (diinstal secara default pada sebagian besar distribusi): `ss` atau `netstat` untuk pengumpulan jaringan, dan,,,`lsblk`,`iostat`,`dmidecode`,,`smartctl`,`top`, `ps` `free``ip`, dan `df` untuk pengumpulan metrik OS. Alat penemuan mendukung dua metode otentikasi untuk SSH: **Opsi 1: Nama pengguna dan kata sandi** Berikan nama pengguna dan kata sandi SSH. Ini adalah metode otentikasi default. **Opsi 2: Kunci pribadi SSH** Berikan nama pengguna SSH dan kunci pribadi dalam format PEM. Untuk menggunakan opsi ini, pilih **SSH Key** dari dropdown **tipe otentikasi** saat mengonfigurasi kredensyal SSH. **Jika kunci privat dienkripsi dengan frasa sandi, masukkan frasa sandi di bidang Frasa Sandi Kunci opsional.** Format kunci berikut didukung: + RSA + ECDSA + Ed25519 + Format OpenSSH + Format PKCS \#8 Kedua metode otentikasi mendukung koneksi otomatis. Kredensyal disimpan dienkripsi saat istirahat. ### Mengatur SNMP + Port defaultnya adalah 161/UDP. Port khusus didukung. Port yang dikonfigurasi harus terbuka antara alat penemuan dan server target. + Untuk SNMP v2: Menyediakan string komunitas read-only yang dapat mengakses OID koneksi TCP. + Untuk SNMP v3: Berikan username/password dan auth/privacy detail dengan izin hanya-baca yang dapat mengakses OID koneksi TCP Alat penemuan membutuhkan akses ke: + `"1.3.6.1.2.1.6.13.1.1." (tcpConnState)` + `"1.3.6.1.2.1.6.19.1.8." (tcpConnectionProcess)` + `"1.3.6.1.2.1.25.4.2.1.2." (hrSWRunName)` ## Konfigurasikan akses database Oracle Konfigurasikan akses database Oracle untuk mengumpulkan metadata database Oracle terperinci secara langsung melalui koneksi SQL. Metadata yang dikumpulkan mencakup topologi CDB dan PDB, penggunaan fitur, dan opsi yang diinstal. Data ini membantu Anda merencanakan migrasi database Oracle dengan lebih akurat. Anda dapat mengumpulkan Oracle Database 12c Release 1 (12.1) dan kemudian melalui koneksi SQL langsung. OS-level deteksi fallback berfungsi dengan semua versi Oracle. **Konfigurasikan kredenal Oracle di alat penemuan** 1. Pada halaman **alat Discovery**, di sidebar, pilih **akses Database**. 1. Pilih **Tambahkan kredensi Oracle**. 1. Saat diminta, berikan informasi berikut: + **Nama ramah — Nama** deskriptif untuk kredensi ini (misalnya,`Oracle Production`). + **Port - Port** pendengar Oracle (default 1521). + **Nama layanan — Nama** layanan Oracle untuk database target. + **Nama pengguna - Nama pengguna** akun layanan Oracle. + **Kata sandi — Kata sandi** akun layanan Oracle. + **Auto-connect**— Aktifkan opsi ini untuk mencoba kredensyal terhadap semua server di inventaris Anda. Matikan opsi ini untuk menetapkan kredensi secara manual ke server tertentu. 1. Untuk menambahkan lebih banyak kredensyal (misalnya, untuk lingkungan Oracle yang berbeda), pilih **Tambah kredensi Oracle** lagi. 1. Pilih **Simpan**. **Mode kredensyal** Saat Anda mengonfigurasi kredensyal Oracle, Anda dapat memilih di antara dua mode: + **Manual** — Sematkan kredensi ke server tertentu. Alat penemuan menggunakan kredensi itu secara eksklusif untuk server itu. Jika koneksi gagal, tidak ada fallback yang terjadi. Perbaiki konfigurasi kredensyal untuk menyelesaikan masalah. + **Auto-connect**— Alat penemuan mencoba setiap kredensi koneksi otomatis terhadap setiap server di inventaris Anda. Ketika kredensi berhasil untuk server, alat penemuan menggunakan kredensi itu untuk semua putaran pengumpulan berikutnya. **Aliran deteksi** Ketika Anda mengkonfigurasi kredensyal Oracle, alat penemuan pertama mencoba koneksi SQL langsung. Jika semua kredensyal database gagal, alat akan kembali ke OS-level deteksi melalui SSH atau WinRM, sehingga Anda masih dapat menemukan instalasi Oracle tanpa akses database. ## Memperbarui alat penemuan Alat penemuan tidak memiliki fitur pembaruan otomatis namun Anda akan menerima pemberitahuan pengingat setelah 30 hari instalasi untuk memperbarui. Disarankan untuk menjaga aplikasi tetap up-to-date untuk menerima fitur terbaru dan patch keamanan. **Untuk memperbarui alat secara manual** 1. Unduh file gambar alat penemuan terbaru (OVA untuk VMware atau VHD untuk Hyper-V) dari tautan yang disediakan. 1. (Opsional) Kami menyarankan Anda menghapus file gambar alat penemuan sebelumnya sebelum Anda menerapkan yang terbaru. 1. Ikuti langkah-langkah di bagian Deploy the discovery tool untuk menerapkan versi yang diperbarui. ## Mencabut akses Anda dapat mencabut akses untuk setiap sumber penemuan secara independen. Ketika Anda mencabut akses untuk satu sumber, data dari sumber lain tidak terpengaruh. + **Mencabut akses vCenter -** Menghapus kredensyal dan data vCenter. VMware-collected Tidak menghapus Hyper-V data, data server yang diimpor, atau kredensyal OS. + **Mencabut Hyper-V akses** — Menghapus Hyper-V kredensyal dan data saja. Hyper-V-collected + **Menghapus server yang diimpor - Menghapus server** yang diimpor dari inventaris. Pengumpulan data hilir (jaringan, database) yang dikumpulkan dari server tersebut dipertahankan.