AWS S3 WebTx プラグイン（ログシッパー用）

このドキュメントでは、 Netskope Cloud Exchangeプラットフォームの Log Shipper モジュールを使用して AWS S3 WebTx プラグインを設定する方法について説明します。 このプラグインを使用すると、ウェブ トランザクション データを AWS S3 バケットにプッシュできます。

前提条件

この設定を完了するには、以下が必要です。

• Netskopeテナント（または、例えば本番環境と開発／テスト環境など、複数のテナント）。
• Netskope Cloud Exchangeテナントには、テナントプラグインとログシッパープラグインが既に設定済みです。
• AWS Netskope LogStreamingまたはAzure Netskope LogStreamingプラグインが既に設定されているNetskope Cloud Exchangeテナント。
• バケットの作成/読む/書き込み権限を持つ AWS S3 クレデンシャル。 先に進む前に、特定のバケットへの読み取り/書き込み権限、またはバケットの作成権限を持つAWS S3アクセスキーIDとシークレットアクセスキーを取得してください。
• IAMユーザーに対するAmazon S3バケットのアクセス許可。
  • ListBucket
  • CreateBucket
  • ListAllMyBuckets
  • GetBucketPolicy
  • GetBucketPublicAccessBlock
  • PutEncryptionConfiguration
  • PutBucketPublicAccessBlock
  • PutBucketPolicy

AWS S3 WebTxプラグインのサポート

AWS S3 WebTxプラグインのサポート内容は以下のとおりです。

データ型	サポート
イベント	いいえ
アラート	いいえ
ウェブテキサス	はい（Netskope LogStreaming経由）

権限

Amazon S3バケットにWebTx（Netskope LogStreaming経由）データを送信するためのIAMユーザーに対するAmazon S3バケットのアクセス許可。

APIの詳細

使うAPI一覧

このプラグイン AWS S3 にファイルオブジェクトを作成するための Python ライブラリ。

ライブラリ：AWS SDK for Python（Boto3）

使用方法：AWS SDK for Python（Boto3）を使用して、Amazon Elastic Compute Cloud（Amazon EC2）やAmazon Simple Storage Service（Amazon S3）などのAWSサービスを作成、構成、管理します。SDKは、オブジェクト指向APIと、AWSサービスへの低レベルアクセス機能を提供します。

Create the Client

s3_client = boto3.client(
                "s3",
                aws_access_key_id=self.aws_public_key,
                aws_secret_access_key=self.aws_private_key,
                aws_session_token=self.aws_session_token,
                region_name=self.region_name,
                config=Config(proxies=self.proxy, user_agent=self.useragent),
              )

Create a Bucket

bucket = s3_client.create_bucket(
               Bucket=bucket_name,
               CreateBucketConfiguration=location,
             )

Upload a File into the Bucket

s3_client.upload_file(
                file_name,
                bucket_name,
                object_name,
            )

Get an AWS Resource

s3_resource = boto3.resource(
                "s3",
                aws_access_key_id=self.aws_public_key,
                aws_secret_access_key=self.aws_private_key,
                region_name=self.region_name,
                config=Config(proxies=self.proxy, user_agent=self.useragent),
            )

ユーザーエージェント

このプラグインで追加されるユーザーエージェントは次の形式です。

netskope-ce-<ce_version>-<module>-<plugin_name>-v<plugin_version>

例えば、

Netskope-ce-5.0.0-cls-aws_s3_webtx-v1.2.0

ワークフロー

再生ボタンをクリックして動画をご覧ください。

AWS S3バケットとバケットポリシーを作成する

バケットポリシーを作成する

プラグインがソースバケットにアクセスするには、ポリシーが必要です。

1. Go to Policy Generator. 
   Replace the <bucket-name> with the AWS S3 Source Bucket created previously. (netskope-ce-source-bucket).
   • ポリシーの種類Select : IAM ポリシー
   • 効果：許可する
   • AWSサービス：Amazon S3
   • アクション: ListAllMyBuckets
   • ARN: *
2. Add Statementをクリックしてください。

   

3. 上にスクロールして、別の文を追加してください。
   • ポリシーの種類Select : IAM ポリシー
   • 効果：許可する
   • AWSサービス：Amazon S3
   • アクション:
     • GetBucketAcl
     • GetBucketPolicy
     • GetBucketLocation
   • ARN: arn:aws:s3:::<bucket-name>
4. Add Statementをクリックしてください。

   

5. 上にスクロールして、別の文を追加してください。
   • ポリシーの種類Select : IAM ポリシー
   • 効果：許可する
   • AWSサービス：Amazon S3
   • アクション:
     • PutObject
     • PutObjectAcl
   • ARN: arn:aws:s3:::<bucket-name>
6. Add Statementをクリックしてください。

   

7. Generate Policyをクリックしてください。必ずこのステップで生成された をコピーしてください。これは 次のステップで ソースバケットにアクセスするためのユーザーに添付される を作成するために使用されます。

   

8. AWSコンソールに移動し、 All ServicesからIAM を選択します。

   

9. 左側のパネルでPoliciesをクリックし、次にCreate Policyをクリックします。

   

10. 前の手順で作成したポリシーを JSON タブに貼り付け、 Next:TagsとNext:Reviewをクリックします。

    

11. Enter a name (like netskope-ce-s3-policy).

    

12. Create Policyをクリックしてください。

    

13. 以下の手順に従って、このポリシーをユーザーに適用してください。
    1. IAM > Usersへ移動してください。添付したいユーザーSelect 、 をクリックしてから、 Add permissionsをクリックし、ドロップダウンメニューからAdd permissionsをクリックします。

       

    2. [権限] でAttach policies directly Select 、前の手順で作成したポリシー ( Netskope -ce-s3-ポリシー) を検索して選択します。

       

    3. NextをクリックしてからAdd permissionsをクリックしてください。ユーザーにはポリシーが紐付けられます。

       

プラグイン認証方法

IAMロールAnywhereの設定

前提条件

プラグインを認証するには、 AWS Certificate Managerサービスを有効にする必要があります。 AWS IAM Roles Anywhere認証方法。

注：プライベート認証局、トラストアンカー、およびプロファイルは、AWS S3ソースバケットが存在するリージョンと同じリージョンに作成してください。

IAM ポリシーを作成する

これは プライベート CA 証明書を作成するために必要な権限 (トラスト アンカーとプロファイルを作成するための権限を含む) と IAM ロール Anywhere が含まれています。

1. ポリシージェネレーターにアクセスし、Add Statementをクリックしてポリシーを生成してください。
   • ポリシーの種類Select : IAM ポリシー
   • 効果：許可する
   • AWSサービス: AWSプライベート認証局
   • アクション:
     • 証明書認証局を作成する
     • 認証局について説明します
     • 証明書を取得する
     • 認証局証明書を取得する
     • GetCertificateAuthorityCsr
     • 輸入証明書認証局証明書
     • 証明書の発行
     • 認証局一覧
   • ARN: *
2. Add Statementをクリックしてください。
   • ポリシーの種類Select : IAM ポリシー
   • 効果：許可する
   • AWSサービス：AWS Identity and Access Management（IAM）
   • アクション:
     • 役割ポリシーを添付する
     • CreateAccessKey
     • ロールの作成
     • 役割を削除
     • パスロール
   • ARN: *
3. Add Statement .
   をクリックしてください
   • ポリシーの種類Select : IAM ポリシー
   • 効果：許可する
   • AWSサービス: AWS証明書マネージャー
   • アクション:
     • 証明書の説明
     • 輸出証明書
     • 証明書を取得する
     • 証明書一覧
     • 証明書のタグ一覧
     • 証明書のリクエスト
   • ARN: *
4. Add Statementをクリックしてください。
   • ポリシーの種類Select : IAM ポリシー
   • 効果：許可する
   • AWS サービス: AWS Identity and Access Management ロールをどこでも
   • アクション:
     • プロフィールの作成
     • CreateTrustAnchor
     • プロフィールを取得する
     • GetTrustAnchor
     • プロフィール一覧
     • リストトラストアンカー
   • ARN: *
5. Add Statementをクリックしてください。
6. Generate Policyをクリックしてください。
7. ポリシーをそのままコピーし、プライベート CA 証明書の作成に必要なポリシーを作成する次の手順で使用します。
8. AWS コンソールに移動し、 All ServicesからIAM 選択します。左側のパネルからPoliciesをクリックし、 Create Policyをクリックします。
   
9. ポリシーをJSONタブにコピーし、 Next: Tags とNext: Review.をクリックしてください。
10. 名前を入力して、 Netskope-ce-rolesAnywhere-policyのようなものをクリックし Save Changes。

プライベート認証局を作成する

1. AWSコンソールにログインしてください。
2. Certificate Managerを検索します。
3. AWS Private CAをクリックしてください。
4. Create a private CAをクリックしてください。
5. Mode OptionsにはGeneral-purpose Select 。
6. Select Root CA type options。
7. 組織名（O）を入力してください。
8. Select RSA 2048 Key algorithm options。
9. Add tags if any (optional).
10. CA permissions optionsセクションのチェックボックスを有効にしてください。
11. Pricingセクションのチェックボックスを有効にしてください。
12. CA証明書を作成するには、 Createをクリックしてください。
13. ActionsからInstallを選択します。
14. Confirm and Installをクリックしてください。

信頼の基盤を築く

1. IAM サービスを検索し、アクセス管理の下にあるRolesに移動します。「Roles Anywhere」までスクロールダウンして、 Manageを選択します。
2. Create a Trust anchorをクリックしてください。
3. Enter the Trust anchor name, like netskope-ce-trust-anchor.
4. AWS Certificate Manager Private CA （前の手順で作成したもの）を Certificate authority (CA) sourceとしてSelect 。
5. 必要に応じてタグを追加してください。
6. Create a trust anchorをクリックしてください。
7. 作成されたTrust Anchor をクリックして Trust Anchor ARNをコピーします。

IAMロールを作成する

1. AWSコンソールでIAMサービスに移動してください。
2. Click Role under Access management.
3. Create Roleをクリックしてください。
4. 信頼できるエンティティタイプには、 Custom Trust Policyを選択してください。
5. ポリシー生成ツールへ移動してください。
6. カスタム信頼ポリシーを以下の信頼ポリシーに置き換えます。このポリシーには、ロールどこでもサービスを使用するためのアクセス許可が含まれています。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Service": [
                       "rolesanywhere.amazonaws.com"
                   ]
               },
               "Action": [
                   "sts:AssumeRole",
                   "sts:TagSession",
                   "sts:SetSourceIdentity"
               ]
           }
       ]
   }


7. Nextをクリックしてください。
8. [アクセス許可ポリシー] で、以前に作成したバケット ポリシーを選択します。
9. Nextをクリックしてください。
10. Netskope -ce-roleAnywhereのようなロール名を指定し、そのロールのデスクリプションを追加します。 
11. Create roleをクリックしてください。
12. Role ARN をメモしておいてください。これは、認証方法AWS IAM Roles AnywhereのRole ARNであるプラグイン構成パラメータで必要になります。

プロフィールを作成する

1. Select Roles under Access management.
2. 下にスクロールして Roles Anywhere まで行き、  Manageをクリックしてください。
3. Setup stepsを展開します。
4.  Step 2: Configure rolesをクリックしてください。
5. Configure a profileをクリックしてください。
6. Netskope -ce-profile のように、プロファイル名を入力してください。
7. Create IAM Role セクションで作成されたロールSelect : Netskope -ce-roleAnywhere。
8. Inline Policyを削除します。
9. Create profileをクリックしてください。
10. 作成された Profile をクリックして Profile ARNをコピーします。

プライベート証明書をリクエストする

1. AWS Certificate Manager > Request certificateへ移動してください。
2. Select Request a private certificate。
3. Nextをクリックしてください。
4. 前の手順で作成した認証局Select 。
5. 完全修飾ドメイン名フィールドに、 Netskope -ce.comのようにドメイン名を入力してください。
6. Key algorithmにはRSA 2048 Select 。
7. 必要に応じてタグを追加してください。
8. 証明書の更新権限を承認してください。
9. Requestをクリックしてください。
10. AWS Certificate Manager のナビゲーション ペインからList certificatesに移動します。
11. 以前に作成した証明書Select 。
12. Exportをクリックしてください。
13. passphrase. を入力してください。パスフレーズはAWS S3プラグインの設定に必要となるため、メモしておいてください。 AWS IAM Roles Anywhere認証方式。
14.  Generate PEM Encodingをクリックしてください。
15. Certificates はすべてダウンロードしてください。二度と表示されなくなります。新しい証明書の場合は再度エクスポートする必要があります。 詳細については、 AWS IAM Role Anywhereを参照してください。

AWSにデプロイされた構成

役割を作成する

1. AWSコンソールでIAMサービスに移動します。
2. Create roleをクリックしてください。
3. AWS ServiceをSelect 。
4. 使うケースには、 EC2を選択します。
5. Nextをクリックしてください。
6. バケット ポリシーで作成された権限ポリシーSelect 。
7. Nextをクリックしてください。
8. Netskope -ce-instance-role のようなロール名を入力し、デスクリプションを追加します。 
9. Create Roleをクリックしてください。Note: この構成では、NetskopeインスタンスとS3バケットの両方が同じ領域にあるべきです。

EC2インスタンスにロールを割り当てる

1. EC2インスタンスのコンソールを開きます。
2. Click Instances under Instances.
3. Action > Security > Modify IAM Roleへ移動してください。
4. 以前に作成したロールSelect （例： Netskope -ce-instance-role）。
5. Update IAM Roleをクリックしてください。

ファーゲットインスタンスにロールを割り当てる

1. CFNスクリプトを開きます。
2. ExistingECSTaskRoleパラメータの値が存在する場合は取得します。
3. IAM > Rolesへ移動してください。
4. Search for the ExistingECSTaskRole parameter value. Otherwise, search for NetskopeCloudExchangeTaskRole-<CFN name> and select the role.
5. 以前作成したバケット作成ポリシーをこのロールに添付します。
6. Add permission > Attach policiesをクリックしてください。
7. 以前に作成したバケット ポリシー ( Netskope -ce-s3-ポリシー) を検索して選択します。
8. Add permissionsをクリックしてください。

K8sインスタンスにロールを割り当てる

1. K8sインスタンスを作成する際に、ServiceAccount用に作成されたロールを開きます。
2. 以前作成したバケットポリシーを添付します。

AWS S3 WebTxプラグインを検証する