Configurer Google Drive pour la protection des données API de nouvelle génération

Pour configurer Google Drive pour la protection des données de l'API de nouvelle génération, suivez les instructions ci-dessous.

Prérequis

Avant de configurer Google Drive pour la protection des données de l'API de nouvelle génération, consultez les conditions préalables.

Un Google Workspace avec licences Business Standard, Business Plus ou Enterprise .
Un compte super administrateur Google pour créer un rôle et un utilisateur personnalisés pour l'intégration de Netskope.
Assurez-vous que Google Drive est activé pour votre unité d'organisation dans l'espace de travail Google. Google Drive doit être disponible au niveau supérieur (parent) ou dans toute unité organisationnelle enfant. Pour vérifier ce paramètre, connectez-vous à admin.google.com à l'aide de votre compte super administrateur Google, puis accédez à Apps > Google Workspace > Drive and Docs. Confirmez que l'adresse Service status est définie sur ON pour les unités d'organisation concernées.
Assurez-vous que le SDK Google Drive est activé. Pour vérifier, connectez-vous à admin.google.com en utilisant votre compte super administrateur Google, puis naviguez dans Apps > Google Workspace > Drive and Docs > Features and Applications pour vous assurer que Drive SDK est activé.
Si votre environnement SaaS comprend des utilisateurs invités ou externes appartenant à des domaines considérés comme internes, vous devez configurer les domaines internes appropriés pour que Netskope puisse classifier l'exposition avec précision. Pour configurer des domaines internes, suivez les instructions de cet article.
Si vous avez l'intention d'utiliser le badge Google label, assurez-vous que l'autorisation de label est définie sur Can view this label ou Can apply labels and set values pour l'organisation.

Pour définir l'autorisation :
1. Connectez-vous à admin.google.com en tant que super administrateur.
2. Dans la barre de navigation de gauche, développez Security > Access and data control > Label manager.
  
  Le gestionnaire d'étiquettes requiert que vous disposiez des privilèges d'administrateur « Gérer les étiquettes de classification » .
3. Sous Classification labels, cliquez sur la première étiquette classée.
4. Dans le volet de navigation de droite, sous Permissions, cliquez sur Edit et définissez l'autorisation sur Can view this label ou Can apply labels and set values.
5. Cliquez sur Save.
6. Assurez-vous que l'option Drive and Docs est activée pour cette étiquette. Si vous sélectionnez Gmail, la fonctionnalité échouera.

Créer et attribuer un rôle personnalisé pour Netskope

Si vous n'avez pas l'intention d'utiliser le compte super administrateur de Google, vous pouvez créer un rôle personnalisé et l'attribuer à un utilisateur pour lui permettre d'accéder à Next Generation API données Protection. Vous pouvez accorder des privilèges ou des champs d'application en utilisant le rôle de superadministrateur de Google par défaut ou en créant un rôle personnalisé exclusivement pour l'intégration de Netskope. Cette section décrit les étapes à suivre pour créer un rôle personnalisé pour Netskope.

Connectez-vous à admin.google.com en tant que super administrateur.
Cliquez sur la triple barre dans le coin supérieur gauche de la page d'accueil et accédez à Account > Admin roles.
Cliquez sur Create new role.
Saisissez un nom et une description pour le poste et cliquez sur CONTINUE.

Select le privilège d'administrateur pour le rôle :

Netskope ne recommande pas de supprimer les privilèges suivants. Toute suppression peut entraîner l'échec des appels API et du traitement des politiques.

Voici une liste des privilèges requis par Netskope :

Privileges	Nécessaire pour
Services > Drive et Docs > Paramètres (Les 5 privilèges)	Ce privilège est nécessaire pour l'inscription des informations sur l'étiquette.
Rapports	Ce privilège est requis pour les modifications de l'interrogation.
Gestion des domaines	Ce privilège est nécessaire pour répertorier les domaines dans l'espace de travail Google. Netskope utilise la liste des pour déterminer si un utilisateur est interne ou externe.
Groupes > Lire	Ce privilège est nécessaire pour obtenir des informations sur le groupe.
Utilisateurs > Lire	Ce privilège est nécessaire pour obtenir des informations sur l'utilisateur.

Netskope prend désormais en charge le badge Google label. Si vous avez l'intention d'utiliser le badge Google, activez également les privilèges ci-dessous.

Privileges	Nécessaire pour
Services> Classification des données > Gérer les étiquettes	Ce privilège est nécessaire pour l'inscription des informations sur l'étiquette.

Cliquez sur CONTINUE puis sur CREATE ROLE.

Once you have created the custom role, you can assign the role to a user. To assign the role to a user, navigate to Directory > Users, click the user account, navigate to Admin roles and privileges, and assign the role you created above. The user can then authorize Netskope to grant access to your Google Drive instance.

It is important to note that the user should have an active Google Workspace license.

Attribuer des champs d'application au compte de service Netskope

Cette section décrit les étapes nécessaires à l'enregistrement de l'application web Netskope et du client API auprès de Google pour permettre l'accès aux données de Google Drive.

Authorizing the service account does not grant it unrestricted access to your organization’s data. It can only act on behalf of individual users, and only access or modify data that those users are permitted to access.
It is important to note that the service account should have an active Google Workspace license.

Connectez-vous à admin.google.com en tant que super administrateur.
Naviguez jusqu'à Security > Access and data control > API controls.
Sur la page API controls , sous Domain wide delegation, cliquez sur Manage Domain Wide Delegation.
Cliquez sur Add new.

Une fenêtre New s'ouvre.
Pour Client ID, entrez 108196482611215472250.

Si vous connectez un compte FedRAMP américain, entrez 116886296238535387112 comme identifiant client.
Si vous vous connectez à un compte MPP fédéral canadien, entrez 101681285188021910893 comme identifiant du client.
Pour OAuth scopes, entrez les champs d'application suivants :

Saisissez un champ d'application par ligne.
- https://www.googleapis.com/auth/userinfo.email
- https://www.googleapis.com/auth/userinfo.profile
- https://www.googleapis.com/auth/admin.reports.audit.readonly
- https://www.googleapis.com/auth/admin.directory.user.readonly
- https://www.googleapis.com/auth/admin.directory.domain.readonly
- https://www.googleapis.com/auth/admin.directory.group.readonly
- https://www.googleapis.com/auth/admin.directory.group.member.readonly
- https://www.googleapis.com/auth/drive
  
  Netskope prend désormais en charge le badge Google label (read & write). Vous devez accorder des champs d'application supplémentaires. Il s'agit de
  
  Avant de pouvoir appliquer un badge Google Label, vous devriez d’abord configurer une instance DRM Google Drive. Pour en savoir plus : Gestion des droits numériques.
  Cette fonctionnalité fait partie de l’offre Advanced DLP (Prévention des pertes de données). Pour permettre cela à votre locataire, parlez-en à votre représentant commercial Netskope.
  - https://www.googleapis.com/auth/drive.labels
  - https://www.googleapis.com/auth/drive.admin.labels
  - https://www.googleapis.com/auth/drive.admin.labels.readonly
  - https://www.googleapis.com/auth/drive.metadata
Cliquez sur Authorize.
Vérifiez les étapes ci-dessus en vérifiant si l'application Netskope for Google apparaît dans la liste des clients API.

Configurer l'instance de Google Drive dans l'interface utilisateur de Netskope

Pour autoriser Netskope à accéder à votre instance Google Drive, suivez les étapes ci-dessous :

Connectez-vous à l'interface utilisateur du locataire Netskope et accédez à Settings > Configure App Access > Next Gen > CASB API.
Sous Apps, sélectionnez Google Drive et cliquez sur Setup CASB API Instance.

La fenêtre Setup Instance s'ouvre.
Sous API Admin Email, saisissez l'adresse e-mail du compte Google du super administrateur ou d'un utilisateur disposant d'un rôle personnalisé (voir Créer et attribuer un rôle personnalisé pour Netskope).
Sous Administrator Email, saisissez l'adresse électronique de l'utilisateur qui recevra une notification par courrier électronique lorsqu'une violation de la politique ou un événement se déclenche. Cette étape est facultative.
(optionnel) Sous Enable Data Classification Labels, sélectionnez la case à cocher pour permettre à Next Generation API données Protection de lire le badge Google pour cette instance.

Assurez-vous que les prérequis, privilèges et scopes OAuth sont remplis avant d’activer cette case. L’accès à la concession peut échouer s’il n’est pas complété.
Vous pouvez modifier ce réglage après avoir créé l’instance. Changer ce paramètre nécessite de réautoriser l’instance en vous reconnectant à Google.
Avant de réactiver cette option, assurez-vous d’avoir rempli tous les prérequis requis par Google. Sinon, la réautorisation échoue et l’instance conserve sa configuration précédente.
Sous Instance Name, entrez le nom de l'instance de l'application SaaS. Cette étape est facultative et si elle est laissée vide, Netskope déterminera le nom de l'instance de l'application après l'octroi.
Cliquez Grant Access. Vous serez invité à vous connecter en tant que super administrateur ou utilisateur disposant d'un rôle et d'un mot de passe personnalisés , puis à cliquer sur Sign In. Lorsque la page des résultats de configuration s'ouvre, cliquez sur Close.

Rafraîchissez votre navigateur et vous verrez une icône verte à côté du nom de l'instance.

Ensuite, vous pouvez consulter la page Inventory de protection des données de l’API de nouvelle génération pour obtenir des informations approfondies sur les différentes entités de votre compte Google Drive. Pour plus d’informations sur la page Inventory , voir Inventaire de Protection des données API de nouvelle génération.

Vous pouvez recevoir des événements d'audit et des alertes analytiques standard sur le comportement des utilisateurs dans Skope IT. Pour en savoir plus : Événements informatiques Skope sur la protection des données des API de nouvelle génération.

Ensuite, vous devez configurer une politique de protection des données pour l'API de nouvelle génération. Pour ce faire, consultez l’assistant de stratégie de protection des données des API de nouvelle génération.