Connectez AWS Redshift à DSPM - Documentation technique Netskope

Overview

Netskope DSPM prend en charge l'analyse des espaces de stockage de données AWS Redshift. Suivez ces instructions pour configurer AWS Redshift et sa connexion à Netskope DSPM.

Prerequisites:

Vous disposez d'un accès d'administrateur de base de données pour le magasin de données.
Les éléments suivants sont installés localement :
- Python (version 3 ou supérieure)
- Pilote Psycopg pour PostgreSQL (uniquement pour Python)
- AWS uniquement : interface de ligne de commande AWS
Redshift uniquement : vous avez validé votre configuration et la connectivité de votre environnement AWS à l’aide de la commande aws configure.

Récupérer les informations de connexion

Le DSPM Netskope nécessitera des informations sur votre stockage de données afin de communiquer avec Redshift. Veuillez suivre les étapes ci-dessous pour identifier les valeurs de connexion à utiliser ultérieurement dans Netskope DSPM.

Cliquez sur ce lien pour vous connecter à votre console AWS, qui vous mènera au service Redshift.
Cliquez sur Clusters dans le menu de gauche.
In the displayed list of clusters, navigate to the Redshift cluster you wish to later connect.
Dans le site General information section, notez les valeurs suivantes :

Highlighted Value	Exemple
Endpoint
Port
Database

Créer un compte de service Netskope DSPM

Un compte de service au sein de la base de données est nécessaire pour connecter votre magasin de données à l'application Netskope DSPM. Netskope DSPM fournit un script Python qui crée le compte de service et attribue les autorisations nécessaires pour les utilisateurs autres que les super-administrateurs.

Exécuter le script

Open the command line interface (CLI).
Exécutez la commande suivante pour télécharger le script :

wget https://dasera-release.s3.us-west-2.amazonaws.com/redshift_setup.py

If necessary, navigate to the directory where the script was downloaded.
Run the script.
Lorsque vous y êtes invité, entrez les paramètres suivants :

Paramètres	Value
Endpoint	Entrez la valeur correspondante de la Retrieve Connection Information step ci-dessus.
Database	Entrez la valeur correspondante de la Retrieve Connection Information step ci-dessus.
Port	Saisissez la valeur correspondante parmi celles Retrieve Connection Information step ci-dessus. Remarque : 5439 est le numéro de port par défaut de Redshift. Si vous utilisez un numéro de port personnalisé, veillez à le remplacer ici.
Username	Nom d'utilisateur de l'administrateur de la base de données exécutant ce script
Mot de passe	Mot de passe de l'administrateur de la base de données exécutant ce script
Nom d'utilisateur à créer pour l'utilisateur de Netskope DSPM	Indiquez le nom de la base de données pour laquelle vous souhaitez créer l'utilisateur Netskope DSPM DB. La valeur de dasera_user est recommandée, mais vous pouvez utiliser n'importe quelle valeur.
Mot de passe	Mot de passe de l'utilisateur de la base de données Netskope DSPM

Lorsque le script est terminé, le message suivant (ou un message similaire) s'affiche :

Created user dasera_user with global select access

Using IAM as Authentication Method

Pour que Netskope DSPM puisse s'authentifier via IAM, vous devrez Netskope accorder l'autorisation DSPM suivante :

{
  "Action": "redshift:GetClusterCredentials",
  "Resource": [
    "arn:aws:redshift:<region>:<account>:dbuser:<cluster>/<username>",
    "arn:aws:redshift:<region>:<account>:dbname:<cluster>/<database>"
  ]
}

Où <username> correspond à l'utilisateur Redshift (nom d'utilisateur de la base de données) que vous avez créé ci-dessus.

L'autorisation redshift:GetClusterCredentials permet à l'instance Netskope DSPM de s'authentifier en tant qu'utilisateur Redshift que vous venez de créer, évitant ainsi d'avoir à fournir le mot de passe de l'utilisateur à Netskope DSPM.

Notez que vous devez spécifier à la fois une ressource dbuser et une ressource dbname, et les identifiants de ressources dbname doivent couvrir toutes les bases de données que vous souhaitez que Dasera scanne. Au lieu de lister explicitement chaque base de données, vous pouvez utiliser des jokers. Dans l’exemple ci-dessus, si la deuxième ressource est remplacée par :

"arn:aws:redshift:<region>:<account>:dbname:<cluster>/*

Netskope DSPM pourra se connecter (en tant <username> que) à toutes les bases de données du cluster spécifié. De la même manière:

"arn:aws:redshift:<region>:<account>:dbname:*/*"

Cela permettra à Netskope DSPM de se connecter à tous les clusters et bases de données de la région donnée (à condition que l’utilisateur de base de données <nom d’utilisateur><username> existe dans chaque cluster).

Si vous avez des clusters Redshift dans différentes régions (mais sur le même compte AWS), vous aurez besoin de lignes de ressources dbuser et dbname uniques pour chaque combinaison unique de <region>, par exemple :

{
  "Action": "redshift:GetClusterCredentials",
  "Resource": [
    "arn:aws:redshift:<region1>:<account>:dbuser:<cluster>/<username>",
    "arn:aws:redshift:<region1>:<account>:dbname:*/*",
    "arn:aws:redshift:<region2>:<account>:dbuser:<cluster>/<username>",
    "arn:aws:redshift:<region2>:<account>:dbname:*/*"
  ]
}

Si l’instance DSPM Netskope doit être installée dans un compte AWS différent du ou des comptes exécutant le(s) cluster(s) Redshift, IAM n’est pas actuellement pris en charge. L’instance Dasera devra s’authentifier via un mot de passe (voir ci-dessous).

Connectez votre magasin de données

Avant d’essayer de connecter un AWS données Store, assurez-vous d’avoir configuré un compte AWS Service spécifique à Netskope DSPMet d’avoir intégré l’infrastructure AWS pour ce données Store. Pour plus de détails, veuillez consulter notre article sur l’intégration des comptes AWS.

Step 1: Provide Credentials

Suivez les étapes suivantes pour configurer la connexion :

Allez sur Data Stores > Data Store Inventory.
Cliquez sur CONNECT A DATA STORE en haut à droite.

Conseil : Sinon, si le magasin de données a déjà été trouvé par autodécouverte, allez sur l'onglet Discovered et cliquez sur Connect dans la colonne Actions.
In the Connect a Data Store window, click the data store icon you wish to connect.
Dans la section Fournir des informations d'identification, remplissez les champs suivants :

Field	Value
Select Compte AWS	Select l’un des comptes AWS définis dans le Infrastructure Section screen. Le champ sera par défaut s’il n’y a qu’un seul compte AWS configuré.
Identifiant du magasin de données	Donnez un nom amical pour décrire ce Magasin de données. Votre valeur est affichée dans d’autres écrans DSPM Netskope tels que Gestion des politiques et Gestion de classification.
Point de terminaison du magasin de données	Saisissez la valeur correspondante de Retrieve Connection Information step ci-dessus, ainsi que le numéro de port et le nom de la base de données. Par exemple, pour une adresse IP publique comme 1.2.3.4 et une base de données nommée « example_db », vous saisirez 1.2.3.4:5439/example_db. Remarque : 5439 est le numéro de port Redshift par défaut. Si vous utilisez un numéro de port personnalisé, veillez à le remplacer ici.
Nom d'utilisateur de la base de données	Entrez la valeur correspondante de la Create a Netskope DSPM Service Account step ci-dessus.
Méthode d'authentification	Select un type basé sur vos configurations disponibles : AWS Identity Access Management (IAM), RoleUsername/PasswordAWS, Secrets Manager, Self-Managed Secrets Manager
Mot de passe	Saisissez la valeur correspondante parmi les Create a Netskope DSPM Service Account step ci-dessus.
Fréquence de balayage	Contrôle la fréquence à laquelle votre données Store est examiné pour les changements, Netskope DSPMla fréquence recommandée est par défaut, que vous pouvez remplacer si (souhaité).
Sidecar Pool	Si vous utilisez des sidecars pour surveiller ce stockage de données, sélectionnez un pool de sidecars avec une visibilité réseau vers ce magasin de données. Ce champ est affiché lorsqu’il existe au moins un groupe de sidecars défini. Pour en savoir plus, veuillez consulter notre article sur l’administration des sidecars.

Step 2: Scanning Infrastructure

Cliquez sur Next.
Lorsque l'onglet Select Capabilities apparaît, remplissez les champs suivants :
- Assign a Data Owner (Facultatif) : Select un ou plusieurs utilisateurs responsables de ce magasin de données.
- Which databases should Netskope DSPM scan?Select les bases de données et les schémas spécifiques à surveiller, le cas échéant.
- FeaturesSelect les fonctionnalités que vous souhaitez activer.

Fonction	Supporté pour ce magasin de données ?
Discovery	Oui (en permanence)
Analyse des privilèges	Oui
Analyse des données fantômes	Oui
Classification	Oui
Contrôle des données en cours d'utilisation	Oui
Automation	Oui (en permanence)

Step 3: Review and Save

Cliquez sur Save.
- Lorsque l'onglet Review apparaît, le système valide votre configuration. Si vous rencontrez des problèmes, suivez les instructions à l'écran pour les résoudre.
Cliquez sur Save pour finaliser la connexion.