CLI上でアプライアンスを手動で設定する標準フローについては、「 Deploy AI Gateway on Netskope Portal — Enrolling AI Gateway」を参照してください。
起動時に自動登録を有効にするために、AI Gatewayインスタンスを起動する前に以下の手順を完了してください。
ステップ1：AWS Secrets Managerでブートストラップシークレットを作成する
- AWSコンソールで、Secrets Managerに移動してStore a new secretをクリックします。
- Other type of secret Select 。
- Key/value pairsの下、Plaintextタブを開き、以下のJSONを入力してください:
{
"bootstrap": true,
"enrollment_token": "<token>"
}
新しいAIGインスタンスを追加すると、 Netskope UIでエンロールメントトークンが生成されます。 トークンの有効期限は24時間です。インスタンス起動前に有効期限が切れた場合は、UIから再発行してください。 - Nextをクリックし、秘密の名前（例：
aig/prod/bootstrap）を付けて、ウィザードを完了してください。
ステップ2：IAMインスタンスプロファイルを添付する
AI Gatewayインスタンスに読む権限を持つIAMロールを与え、 読む シークレットを許可してください。静電気クレデンシャルは必要ありません。
- AWSコンソールで、IAM > Policiesに移動してCreate policyをクリックします。
- JSONエディタに切り替えて、次のように入力します:
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "ReadAIGBootstrapSecret",{
"Effect": "Allow",{
"Action": "secretsmanager:GetSecretValue","Resource": "arn:aws:secretsmanager:<region>:<account-id>:secret:aig/prod/bootstrap-*"cph0}}
]
}
Note :Resourceをワイルドカードではなく、特定のシークレット ARN にスコープします。 - ポリシーを保存します。
- IAM > Rolesに移動して、AI GatewayインスタンスプロファイルのIAMロール使うにアタッチしてください。
ステップ3：EC2インスタンスを起動する
EC2インスタンスを起動する際には、IAMインスタンスプロファイルとユーザーデータフィールドの両方を設定してください。
IAM instance profile
- Advanced details > IAM instance profileの で、ステップ2のIAMロールに関連付けられたインスタンスプロファイルを選択します。このプロファイルは、インスタンスにブートストラップ秘密を読む権限を与えます。これがなければアプライアンスはシークレットを取得できず、登録が失敗します。
User Data
- User dataフィールドを以下の JSON に設定し、値をシークレット名または ARN に置き換えてください。
{"bootstrap_secret": "aig/prod/bootstrap"}
初回起動時に、AIG アプライアンス読む ユーザーデータ、使う IAM インスタンスプロファイルを使い、シークレットマネージャーから秘密を取得し、自動的に登録を完了します。 SSH接続や手動CLI操作は不要です。
登録完了の確認
アプライアンスは事前登録と登録を自動的に行います。下記のどちらの選択肢でも、使うの完成を確認してください。
Option 1: Netskope UI
登録が成功したら、NetskopeのテナントUIにアクセスして Settings > Security Cloud Platform > VM Onboardingに行ってください。「VM名」列に登録済みのVMの横に緑色のアイコンが表示されます。
Option 2: Public API
GET /api/v2/aig/appliancesを呼び出し(使う your Netskope API v2 トークンを使い、x-netskope-tenantidヘッダーを含めてください — REST API v2概要を参照)。アプライアンスの状態フィールドを確認してください。
| status | Meaning |
|---|---|
| connected | 登録済みで健康状態良好（過去30分以内に心拍を確認）—登録成功 |
| not-registered | 登録が完了していません |
| disconnected | 登録は済んでいるが、過去30分間心拍が確認できない。 |
回答例：
{
"elements": [
{
"id": "00000000-0000-7000-0000-000000000001",
"name": "Taipei Lab",
"status": "connected"
}
],
"total_count": 1
}
接続状態はアプライアンスが登録されて報告中であることを示しています。
もしアプライアンスが起動から1時間以内に接続に達しなかったり、UIに緑のアイコンが表示されなかった場合は、下記の Troubleshooting セクションをご覧ください。
オプション:Bootstrapでオンデマンドおよび AI Guardrails DLPの設定
ブートストラップ中にオンデマンドまたは AI Guardrails DLPを設定するには、対応するブロックをSecrets Managerの秘密に追加してください。 存在する場合、アプライアンスは登録直後にその設定を適用します。
DLP on-demand:
{
"bootstrap": true,
"enrollment_token": "<token>",
"dlp": {
"certificate": "-----BEGIN CERTIFICATE-----\n...",
"host": "https://dlp.company.internal"
}
}
DLPブロックを含める場合、証明書とホストの両方が必要です。
AI Guardrails:
{
"bootstrap": true,
"enrollment_token": "<token>",
"ai_guardrails": {
"host": "https://<llm-endpoint>/invocations",
"certificate": "-----BEGIN CERTIFICATE-----\n...",
"jwt_url": "https://<auth-provider>/oauth2/token",
"client_id": "<client-id>",
"client_secret": "<client-secret>",
"scope": "<scope>"
}
}
必要なのはhostだけです。LLMバックエンドでTLS証明書の設定またはトークンベース認証が必要な場合にのみ、その他のフィールドを追加してください。
DLPや AI Guardrails 設定が失敗しても、登録には影響がありません。 インスタンスの登録後、サービス構成を再度適用してください。
トラブルシューティング
ブートストラップ処理は自動化されているため、通常はSSHやCLIによる操作は必要ありません。使う 以下の手順は、アプライアンスが起動one hour以内に接続(またはUIに緑のアイコンが表示されている)notた場合に限ります。
nsadminアカウントでアプライアンスにSSHで接続し、AIGのCLIを開始する( 「Signing in to Your アプライアンス」を参照)。
Step 1: Check whether bootstrap enrollment is still running
メインメニューから Enroll this AI Gatewayを選択します。
- Bootstrap Enrollment In Progressページ(「このアプライアンスは自動的に登録されています。何もする必要はありません。入学手続きは現在も進行中です。メインのメニュに戻って待つ;手動登録を始めるな。
- 通常の登録フロー（Bootstrap Enrollment In Progressページが表示されない場合）にたどり着いた場合、自動ブートストラップが実行されなかったか、失敗しました。ステップ2に進んでください。
Step 2: Collect a debug bundle and contact Netskope Support
メインのメニュから「 Debug Bundle 」を選択し、プロンプトに従って(始める生成にはパスワードを入力)。 詳細は「ログ 管理 (始める)」をご参照ください。 生成が完了すると、CLIには以下が表示されます。
バンドルは、nsdebugアカウントを使用してSCP/SFTPからダウンロードできます。
nsdebugアカウントのSCP/SFTPを使ってバンドルを取得し、ns-debug.zipバンドルとその復号パスワードを Netskope サポートポータルにアップロードしてエンジニアリング解析を行います。