Guide de démarrage rapide : du déploiement à votre première requête

Obtenez l’image

1. Connectez-vous à l'interface utilisateur du locataire Netskope et accédez à Settings > Security Cloud Platform > VM Onboarding.
2. Cliquez sur Deploy VM > Get VM Image.
3. Obtenez l’image pour votre plateforme :
   • ESXi: Choisissez l'image ESXi et cliquez sur Download pour obtenir ai-gateway-ova.zip. Étapes complètes : Téléchargement de l'image VMware ESXi.
   • AWS: Dans la section AWS AMI, cliquez sur le lien AWS Marketplace. Étapes complètes : Lancement de l'AMI (Amazon Machine Image) AWS.
   • GCP: Cliquez sur le lien GCP Marketplace. Étapes complètes : Lancement de l’image Google Cloud Platform (GCP).
   • Azure: À côté de Azure, cliquer sur View instruction. L’image n’apparaît dans votre abonnement Azure qu’une fois que Netskope l’a provisionnée. Étapes complètes : Lancement de l’image Azure.

Lancer la VM

Suivez les étapes correspondant à votre plateforme. Les quatre sujets sont indexés sous Installation dans votre infrastructure.

VMware ESXi (étapes complètes : Déploiement d’une OVA sur ESXi)

1. Décompressez ai-gateway-ova.zip pour obtenir le fichier OVA.
2. Connectez-vous à l’hôte ESXi et allez sur Inventory > Hosts and Clusters.
3. Faites un clic droit sur l’hôte et cliquez sur Deploy OVF Template.
4. Sous Select an OVF template, cliquez sur Local file, puis sur Upload files, et choisissez l'OVA. Vous pouvez également saisir une URL.
5. Saisissez un nom de VM unique et choisissez un emplacement cible.
6. Select la ressource informatique et activez Automatically power on deployed VM.
7. Examinez les détails, puis choisissez un provisionnement dynamique ou statique sous Select storage.
8. Select VM Network comme réseau de destination et cliquez sur Finish.

AWS (étapes complètes : Déploiement de l’image AWS AMI)

1. Dans la console de gestion EC2, cliquez sur Launch Instance.
2. Recherchez Netskope One AI Gateway et sélectionnez l’AMI parmi les AMI du Marketplace AWS.
3. Choisissez un type d’instance dans le tableau de dimensionnement et lancez l’instance avec la paire de clés SSH que vous utiliserez pour vous connecter.
4. Allouez une adresse IP élastique. Ensuite, sélectionnez l’interface réseau de l’instance et choisissez Actions > Associate Address pour l’attribuer.

Pour automatiser l’amorçage AWS, consultez Amorçage automatisé à l’aide d’AWS Secrets Manager.

GCP (Étapes complètes : Déploiement de l’image GCP)

1. Dans Compute Engine, allez sur VM Instances et cliquez sur Create Instance > Create VM from Marketplace. Vous pouvez également rechercher Netskope One AI Gateway dans GCP Marketplace.
2. Spécifiez le nom de l’instance, le compte de service, le type de machine, le disque de démarrage et la mise en réseau.

Pour ajouter ou modifier des clés SSH après la création de la machine virtuelle, consultez la même rubrique.

Azure (étapes complètes : Déploiement de l’image Azure)

1. Dans le portail Azure, accéder à Virtual machines, ouvrir le menu déroulant Images et sélectionner All images.
2. Accédez à Marketplace et recherchez Netskope One AI Gateway.
3. Choisissez une taille dans le tableau de dimensionnement. L'image prend en charge les machines virtuelles de génération 2 avec Trusted Launch.
4. Configurer le compte administrateur. Le nom d’utilisateur est fixe : nsadmin. Autoriser le SSH entrant (port 22). Si vous utilisez un mot de passe, utilisez entre 12 et 72 caractères avec au moins trois des éléments suivants : minuscules, majuscules, chiffres, caractères spéciaux.

Étapes complètes pour l'inscription et l'enregistrement : Déployer AI Gateway sur le portail Netskope.

Enregistrez la passerelle dans votre locataire

1. In the Netskope tenant UI, go to Settings > Security Cloud Platform > VM Onboarding.
2. Cliquez sur Deploy VM > Register VM.
3. Sous Step 1 (Configure), saisissez un VM Name (AI Gateway) et un Hostname. Le nom d'hôte doit être un nom de domaine valide qui se résout vers la passerelle.
4. Sous Protocol and Port, choisissez les ports HTTPS et HTTP utilisés par la passerelle.
5. Cliquer sur Continue. Dans Step 2 (Register), le tenant génère un jeton d’enregistrement.
6. Cliquez sur Copy ou Download pour enregistrer le jeton, puis cliquez sur Finish.

Le jeton expire 24 heures après sa génération. Enregistrez la passerelle dans ce délai.

Connectez-vous à l'appareil

Étapes complètes : Connexion à votre appliance.

Connectez-vous à l’interface de ligne de commande d’AI Gateway en tant que nsadmin:

ssh nsadmin@<appliance-ip>

• ESXi: Le mot de passe par défaut est nsadmin. L’assistant de configuration vous invite à le changer. Les New mots de passe doivent contenir au moins 14 caractères, notamment un chiffre, une lettre majuscule, une lettre minuscule et un caractère spécial.
• AWS: Utilisez votre paire de clés : ssh -i /path/to/key.pem nsadmin@<appliance-ip>
• GCP: L'instance utilise les clés SSH que vous avez ajoutées aux métadonnées nsadmin.
• Azure: Utilisez la clé SSH ou le mot de passe que vous avez défini lors de la création de la VM.

Cinq tentatives de connexion infructueuses consécutives verrouillent le compte nsadmin pendant 15 minutes.

Configurer le réseau

• ESXi: Dans l’assistant de configuration, ouvrez Network Configuration et définissez les serveurs DNS, DHCP ou une IP statique.
• AWS: Configurez le réseau dans la console AWS ou utilisez DHCP. Ne définissez pas d’IP statique dans l’interface de ligne de commande AI Gateway. Elle peut entrer en conflit avec le VPC et interrompre la connectivité.

Enregistrer la passerelle

1. Dans l’assistant de configuration, sélectionnez Enroll this AI Gateway.
2. Attendez quelques minutes que la pré-inscription configure les services AI Gateway.
3. Lorsque la page AI Gateway Enrollment s’affiche, collez le jeton d’enregistrement.
4. Attendre que l’interface de ligne de commande confirme l’inscription et affiche l’ID de la passerelle.

Vérifier l'enrôlement

Dans l’interface utilisateur du locataire, accédez à Settings > Security Cloud Platform > VM Onboarding. Une icône verte à côté de votre machine virtuelle dans la colonne VM-Name confirme que la passerelle est enregistrée.

Installer un certificat (facultatif)

Étapes complètes : Installer le certificat sur AI Gateway.

AI Gateway utilise un certificat autosigné par défaut. Si vous le conservez, configurez vos agents IA pour qu’ils lui fassent confiance ou ignorent la validation. Pour utiliser un certificat signé par une autorité de certification à la place :

1. Dans l'assistant de configuration, ouvrez Certificate Management et sélectionnez Generate CSR. Définissez Common Name pour qu'il corresponde au nom d'hôte de la passerelle et remplissez les autres champs.
2. Demandez à votre autorité de certification racine ou à votre fournisseur de certificats de signer le CSR.
3. Select Install Certificate et collez le certificat signé sous Paste your signed certificate.

Liste complète des rubriques : Configuration.

Ajouter un fournisseur d’IA

Étapes complètes : Liste des fournisseurs d'IA, Ajouter ou enregistrer un fournisseur d'IA personnalisé et Associer le fournisseur d'IA personnalisé à l'AIG.

1. Allez sur Settings > Security Cloud Platform > AI Gateway > AI Provider.
2. Confirmez que le fournisseur dont vous avez besoin apparaît dans la liste. AI Gateway prend en charge les schémas OpenAI, Google Gemini et Anthropic Claude.
3. Pour ajouter un fournisseur qui n’est pas répertorié, cliquez sur New AI Provider et entrez :
   • Name: AI Gateway ajoute automatiquement le préfixe cust.
   • AI Schema: OpenAI, Google Gemini, Claude ou autres.
   • Host: Le nom de domaine du fournisseur d’IA.
   • Protocol & Port: Les ports HTTPS et HTTP sur lesquels le fournisseur écoute.
4. Cliquez sur Save.
5. Pour un fournisseur personnalisé, allez sur Settings > Security Cloud Platform > AI Gateway > Gateway Setup, sélectionnez votre passerelle, cliquez sur Link Custom AI Providers, choisissez le fournisseur et cliquez sur Save.

Si vous choisissez le schéma Others, AI Gateway fournit le contrôle d’accès, la limitation de débit et l’authentification. L’inspection DLP (Prévention des pertes de données) et les protections de l’AI Security ne sont pas disponibles pour ces fournisseurs.

Utilisez-vous AWS Bedrock ? Voir Configurer AWS Bedrock comme fournisseur d'IA personnalisé.

Créer un groupe de jetons

Étapes complètes : Créer un New groupe de jetons. Présentation : Jeton et groupe d'authentification.

1. Allez sur Settings > Security Cloud Platform > AI Gateway > Authentication Token & Group.
2. Cliquez sur New Token Group.
3. Entrez un Token Group Name. Ajoutez une description si vous le souhaitez.
4. Cliquez sur Save.

Les groupes de jetons vous permettent d'appliquer des politiques et des limites de taux à plusieurs jetons à la fois.

Create a token

Étapes complètes : Créer un New jeton.

1. Sur la page Authentication Token & Group, cliquez sur New Token.
2. Saisissez un nom de Token.
3. Définissez Expire In en option et choisissez une unité (heures, jours, semaines ou mois).
4. Choisissez un Token Group.
5. Cliquez sur Save.
6. Copiez le jeton de la fenêtre Copy Token et stockez-le en toute sécurité. Vous ne pourrez plus le voir.

Stockez la clé du fournisseur dans AI Gateway (recommandé)

Étapes complètes : Clés d’API du fournisseur d’IA (clés virtuelles).

Les clés virtuelles empêchent vos clés d’API de fournisseur réel de figurer dans le code de l’application. Vous ajoutez la clé une fois, et AI Gateway l’échange dans les requêtes sortantes.

1. Accédez à Settings > Security Cloud Platform > AI Gateway > Provider et sélectionnez le fournisseur.
2. Cliquez sur Add Key, saisissez un Name of API key unique, collez la clé API du fournisseur et cliquez sur enregistrer. AI Gateway valide la clé auprès du fournisseur avant de la stocker.
3. Allez sur Settings > Security Cloud Platform > AI Gateway > Token Group et ouvrez votre groupe de jetons.
4. Sous AI provider keys, sélectionnez le fournisseur et la clé stockée, puis enregistrez.

Les applications qui utilisent un jeton de ce groupe accèdent désormais au fournisseur sans jamais manipuler sa clé d’API.

Étapes complètes : Acheminer le trafic vers un point de terminaison AI Gateway unique.

1. Aller à Settings > Security Cloud Platform > AI Gateway > Gateway Setup. Notez l’adresse de la passerelle et le fournisseur slug, qui correspond au nom dans la colonne AI Provider.
2. Envoyer une requête à la passerelle plutôt qu'au fournisseur :

curl https://<your-ai-gateway-fqdn>/v1/chat/completions \ -H "Content-Type: application/json" \ -H "x-ns-aig-apikey: <your-aig-token>" \ -H "x-ns-aig-slug: openai" \ -d '{"model": "gpt-4o", "messages": [{"role": "user", "content": "Hello"}]}'

• x-ns-aig-apikey contient le jeton que vous avez créé dans la phase 4.
• x-ns-aig-slug indique à la passerelle vers quel fournisseur router le trafic. Pour changer de fournisseur, changez uniquement le slug.
• Si vous n’avez pas défini de clés virtuelles, envoyez également les informations d’identification du fournisseur dans l’en-tête Authorization.

La page Gateway Setup affiche également l'URL de base HTTPS et HTTP pour chaque fournisseur, si vous préférez conserver une URL de base distincte par fournisseur.

Pour les agents et les SDK, stockez le jeton dans une variable d’environnement et transmettez-le dans l’en-tête x-ns-aig-apikey à chaque appel.