To configure GitHub for the Next Generation API Data Protection, follow the instructions below. Before that, take a look at the following important notes about this integration:
-
Netskope peut analyser la prévention des pertes de données (DLP) et la protection contre les menaces sur le code source en texte clair uniquement. Netskope n'analyse pas les fichiers binaires tels que les documents Microsoft Office, les PDF, les images, les fichiers exécutables, etc. Chaque section d'un commit comprenant des violations donnera lieu à un incident unique avec une URL renvoyant à cette section du commit. Pour afficher un incident DLP (Prévention des pertes de données), naviguez sur Incidents > DLP, recherchez un incident GitHub et cliquez dessus.
-
Si vous avez configuré des restrictions d'adresse IP pour votre organisation GitHub, assurez-vous d'autoriser les requêtes provenant de l'application API Netskope CASB installée. Ceci est nécessaire pour que Netskope puisse accéder à votre organisation GitHub. Pour en savoir plus : Autoriser l’accès par les applications GitHub.
Vous pouvez également ajouter les plages d'adresses IP Netskope appropriées à votre organisation, comme décrit dans cet article. Pour obtenir la liste des plages d'adresses IP Netskope, consultez la liste consolidée NewEdge des plages d'adresses IP à autoriser (nécessite des informations d'identification de connexion). Si vous n'en avez pas, contactez support@netskope.com.
Prérequis
Before configuring GitHub for the Next Generation API Data Protection, review the prerequisites.
-
You require a GitHub Enterprise Cloud edition.
La protection des données API de nouvelle génération prend en charge GitHub Enterprise Cloud avec l'édition de résidence des données. Pour en savoir plus sur cette édition, consultez GitHub Enterprise Cloud avec résidence de données. -
Un compte GitHub qui est membre ou propriétaire de votre organisation GitHub.
-
Si votre environnement SaaS comprend des utilisateurs invités ou externes appartenant à des domaines considérés comme internes, vous devez configurer les domaines internes appropriés pour que Netskope puisse classifier l'exposition avec précision. Pour configurer des domaines internes, suivez les instructions de cet article.
Vous pouvez désormais configurer deux variantes de GitHub : Commercial (github.com) ou GHE (ghe.com) avec résidence des données.
Commercial (github.com) Intégration
Install the Netskope CASB API App in GitHub
To install the Netskope CASB API app in the GitHub organization, follow the steps below:
-
Connectez-vous à www.github.com en utilisant votre compte d’organisation GitHub.
-
Installez l'application Netskope CASB API à partir des URL suivantes :
-
Publicité : https://github.com/apps/netskope-casb-api
-
FedRAMP américain : https://github.com/apps/netskope-casb-api-for-us-fedramp
-
PBMM fédéral du Canada : https://github.com/apps/netskope-casb-api-for-ca-pbmm
-
-
Cliquez sur Install.
Screenshots below are from the Netskope CASB API app commercial version.
-
Select le nom de l’organisation > All repositories et cliquez Install.
Pour en savoir plus sur les autorisations, consultez la page Autorisations requises pour GitHub.Ne modifiez pas les options d'installation.
Une fois installé, vous devriez voir un message réussi en haut de la page. Procédez à la configuration de l’instance GitHub dans l’interface Netskope.
Intégration GHE
Next Generation API données Protection prend en charge GitHub Enterprise Cloud avec données résidency edition — l’offre dédiée cloud de GitHub qui fonctionne sur le domaine *.ghe.com . Cette édition offre des garanties de résidence des données et utilise un environnement locataire entièrement isolé par entreprise, avec toutes les identités des utilisateurs gérées comme des utilisateurs gérés d’entreprise (EMU) via un fournisseur d’identité. Pour en savoir plus sur cette édition, consultez GitHub Enterprise Cloud avec résidence de données.
Contrairement au GitHub public (github.com), Alors que Next Generation API données Protection gère une application GitHub partagée en votre nom, GitHub Enterprise Cloud avec résidence données vous oblige à créer et installer votre propre application GitHub sur votre locataire GHE avant de vous connecter à Next Generation API données Protection. Cela s’explique par le fait que chaque locataire GHE est isolé, et la protection des données de l’API de nouvelle génération ne peut pas enregistrer une seule application partagée parmi tous les locataires clients.
Créer une application GitHub
Créez une application GitHub sur votre locataire GHE et configurez les autorisations requises.
-
Connectez-vous pour
https://<your-ghe-enterprise-name>.ghe.comen tant que propriétaire d’une organisation. -
En haut à droite, cliquez sur l'icône du profil utilisateur, puis cliquez sur Settings.
-
Sur la navigation de gauche, cliquez sur <> Developer settings, puis cliquez sur New GitHub App.
-
GitHub App name: Entrez un nom pour cette application GitHub. Par exemple :
netskope-api-data-protection. -
Homepage URL: Voici
https://www.netskope.com. -
Callback URL: Selon le compte que vous connectez, entrez :
-
Publicité :
https://nso.goskope.com/common/oauthorize -
US FedRAMP:
https://nso.govskope.us/common/oauthorize -
La PBMM fédérale du Canada :
https://nso.govskope.ca/common/oauthorize
Gardez la case Expire user authorization tokens cochée.
-
-
Sous Webhook, cochez la case Active ; en fonction du compte que vous connectez, saisissez la Webhook URL:
-
Publicité :
https://casb-webhooks.netskope.io/v1/notifications/phoenix/github -
US FedRAMP:
https://casb-webhooks.govskope.io/v1/notifications/phoenix/github -
La PBMM fédérale du Canada :
https://casb-webhooks.cagovskope.io/v1/notifications/phoenix/github
-
-
Secret: Générez un secret fort et aléatoire (par exemple, en utilisant
openssl rand -hex 32) et sauvegardez-le en toute sécurité. Vous devez fournir la même valeur lors de l’intégration de GitHub avec la protection des données de l’API Next Generation.Le secret webhook configuré ici doit correspondre exactement à la valeur saisie dans Next Generation API données Protection. Next Generation API données Protection utilise ce secret pour valider l’authenticité et l’intégrité des charges utiles de webhook entrantes en utilisant les signatures HMAC-SHA256. -
Under SSL verification, ensure Enable SSL verification is selected.
-
Sous Permissions, configurez ce qui suit :
-
Repository permissions
Permission Niveau d’accès Administration Lire et écrire Contents Read-only Métadonnées Read-only -
Organization permissions
Permission Niveau d’accès Administration Read-only Members Read-only
-
-
Sous Subscribe to events, sélectionnez Fork, Member, Membership, Organization, Push, Repository, Team.
-
Sous Where can this GitHub App be installed?, sélectionnez This enterprise. Cliquez Create GitHub App.
Vous avez réussi à créer une application GitHub. Vous serez accueilli par une bannière d’inscription réussie sur la page de paramètres de l’application GitHub.
-
-
Notez les App ID et Client ID. Ces valeurs sont nécessaires lors de l’intégration de GitHub avec la protection des données de l’API Next Generation.
-
Sous Client secrets, cliquez Generate a new client secret.
Assurez-vous de copier le secret client New maintenant. Tu ne peux plus le voir. Le secret client est nécessaire lors de l’intégration de GitHub avec la protection des données de l’API Next Generation. -
Sous Private keys, cliquez Generate a private key.
La clé privée est téléchargée sous forme de fichier.pem. Sauvegardez ce fichier de manière sécurisée, car son contenu est nécessaire lors de l’intégration de GitHub avec la protection des données de l’API de nouvelle génération.
Installez l'application GitHub
Ensuite, installez l’application sur l’organisation cible.
-
Sur la navigation à gauche de la page des paramètres de l’application GitHub, cliquez sur Install App.
-
Identifiez l’organisation cible et cliquez Install.
-
Select All repositories et cliquez sur Install.
Gardez les valeurs suivantes à portée de main :
-
Hébergeur GitHub :
<your-ghe-enterprise-name>.ghe.com -
Nom de l’organisation GitHub : Nom de l’organisation où l’application GitHub est installée.
-
ID client de l’application GitHub : Comme indiqué à l’étape 4 ci-dessus.
-
Secret client GitHub App : tel que généré à l’étape 5 ci-dessus.
-
ID d’application GitHub : Comme indiqué à l’étape 4 ci-dessus.
-
Clé privée de l’application GitHub : Comme indiqué à l’étape 6 ci-dessus.
-
Secret du webhook : Tel que généré à l’étape 3.5 ci-dessus.
Procédez à la configuration de l’instance GitHub dans l’interface Netskope.
Configurer l'instance GitHub dans l'interface utilisateur de Netskope
To authorize Netskope to access your GitHub instance, follow the steps below:
-
Connectez-vous à l'interface utilisateur du locataire Netskope et accédez à Settings > Configure App Access > Next Gen > CASB API.
-
Sous Apps, sélectionnez GitHub et cliquez sur Setup CASB API Instance.
La fenêtre Setup Instance s'ouvre.
-
Select le Environment.
Commercial (github.com)GHESaisissez les informations suivantes :
-
Nom de l’organisation GitHub : Nom de l’organisation où l’application GitHub est installée.
Le nom de l’organisation est sensible à la casse.
Saisissez les informations suivantes :
-
Hébergeur GitHub :
<your-ghe-enterprise-name>.ghe.com -
Nom de l’organisation GitHub : Nom de l’organisation où l’application GitHub est installée.
Le nom de l’organisation est sensible à la casse. -
ID client de l'application GitHub : comme indiqué à l'étape 4 de la section Créer une application GitHub.
-
Secret client de l’application GitHub : tel que généré à l’étape 5 de Créer une application GitHub.
-
ID d’application GitHub : Comme indiqué à l’étape 4 de Créer une application GitHub.
-
Clé privée de l'application GitHub : comme indiqué à l'étape 6 de la création d'une application GitHub.
-
Secret Webhook : Tel que généré à l’étape 3.5 de Créer une application GitHub.
-
-
Sous Administrator Email, saisissez l'adresse électronique de l'utilisateur qui recevra une notification par courrier électronique lorsqu'une violation de la politique ou un événement se déclenche. Cette étape est facultative.
-
Sous Instance Name, entrez le nom de l'instance de l'application SaaS. Cette étape est facultative et si elle est laissée vide, Netskope déterminera le nom de l'instance de l'application après l'octroi.
-
Cliquez Grant Access. On vous invitera à vous connecter avec votre membre GitHub ou le propriétaire de votre nom d’utilisateur et mot de passe d’organisation GitHub, puis de cliquer sur Sign In. Autorisez l’application.
Lorsque la page des résultats de configuration s’ouvre, cliquez sur Close.
Rafraîchissez votre navigateur et vous devriez voir une icône verte à côté du nom de l'instance.
Ensuite, vous pouvez consulter la page Protection Inventory de données API Next Generation pour obtenir des informations approfondies sur diverses entités de votre environnement GitHub. Naviguez jusqu’à API-enable Protection > CASB API (NEXT GEN) > Inventory. La page Inventory liste les entités suivantes issues de votre environnement GitHub :
-
Content Collection > Repository: This page displays a list of GitHub repositories.
-
Utilisateurs : Cette page affiche une liste des utilisateurs de GitHub.
-
User Group: This page displays a list of GitHub teams/user groups.
Pour plus d’informations sur la page Inventory , voir Inventaire de Protection des données API de nouvelle génération.
Vous pouvez recevoir des événements d’audit et des alertes d’analyse du comportement utilisateur standard dans Skope IT. Pour en savoir plus : Événements IT de protection des données de l’API de nouvelle génération à Skope.
Next, you should configure a Next Generation API Data Protection policy. To do so, see Next Generation API Data Protection Policy Wizard.
Notes importantes concernant les politiques de GitHub
Lorsque vous configurez une politique de protection des données de l'API de nouvelle génération pour GitHub, gardez à l'esprit les limitations et les comportements suivants :
-
Restreindre l'accès aux utilisateurs internes action
This action only removes external collaborators from the repository.
-
Les politiques GitHub de nouvelle génération de prise en charge des entités
s'appliquent actuellement uniquement à commits pushed to a repository.
(Facultatif) Activer l'adresse IP de l'utilisateur dans les journaux d'audit
Pour voir l'adresse IP source des utilisateurs de GitHub dans Skope IT sous Events & Alerts > Application Events, vous devez d'abord activer source IP disclosure dans les paramètres de votre organisation GitHub.
-
Connectez-vous à votre compte GitHub en tant que membre ou propriétaire de l'organisation. Allez sur la page d'accueil de votre organisation.
-
Dans la barre de navigation supérieure, sélectionnez Settings.
-
Dans la barre latérale gauche, accédez à Archive > Logs > Audit log.
-
Cliquez sur l'onglet Settings et sélectionnez Enable source IP disclosure puis cliquez sur Save.
Une fois activée, vous pouvez voir l'adresse IP source de chaque utilisateur GitHub dans Skope IT > Events & Alerts > Application Events.
(Facultatif) Désinstallez l'application Netskope CASB API dans GitHub
Si vous interrompez l'intégration entre GitHub et Next Generation API données Protection, vous devez d'abord supprimer l'instance GitHub de l'interface utilisateur du locataire Netskope. Désinstallez ensuite l'application Netskope CASB API depuis GitHub.
You can uninstall the Netskope CASB API app. To uninstall the app, follow the steps below:
-
Connectez-vous à www.github.com en utilisant votre nom d’utilisateur d’administration GitHub.
-
En haut à droite, cliquez sur Settings.
-
Sur la navigation de gauche, cliquez sur Organizations.
-
Identifiez l’organisation où vous avez installé l’application GitHub et cliquez Settings.
-
Sur la navigation de gauche, cliquez sur GitHub Apps.
-
Identifiez l'application GitHub et cliquez sur Configure.
-
Faites défiler jusqu’à la section Uninstall <app name> et cliquez sur Uninstall.
Lorsque vous désinstallez l'application, Netskope ne reçoit plus de notifications de GitHub.