Azure AD 用 User Risk Exchange プラグイン

このドキュメントでは、 Netskope Cloud Exchangeの User Risk Exchange モジュールを使用して Azure AD プラグインを構成する方法について説明します。 Microsoft Azure ADプラグインは、Microsoft Azure ADからリスクの高いユーザーとそのスコアを取得します。また、ユーザーに対するグループへの追加、グループからの削除、および侵害された操作の確認もサポートしています。ユーザーは、Microsoft Azure AD プラットフォームのHome > Risky Usersから取得されます。

前提条件

この設定を完了するには、以下が必要です。

Azure AD プラグインのサポート

Microsoft Azure AD UREプラグインは、ユーザーとそのそれぞれのスコアを取得します。このプラグインはアクションも実行します。

取得したデータの種類	ユーザー
支援対象となる活動の種類	グループに追加、グループから削除、侵害の確認、何もしない

マッピング

フィールドが引き抜かれた

Microsoft Azure AD フィールド	Netskope CE Fields
userPrincipalName	email
riskLevel	score

スコアマッピング

Default Netskope Score	Default Netskope Score Range
致命的	0-250
高い	251-500
中くらい	501-750
低い	751-1000

Microsoft Azure AD スコア	Netskope CE URE スコア
隠された情報なし 不明な将来価値	なし
low	875
medium	625
high	375

権限

必要なアクセス許可の取得と提供の詳細については、「Azure AD クレデンシャルを取得する」を参照してください。

APIの詳細

使うAPI一覧

APIエンドポイント	方法	使うケース
<tenant_id>/oauth2/token	得る	Get OAuth2 token
/identityProtection/riskyUsers	得る	ユーザーとスコアを取得する
/groups	得る	すべてのグループを取得する
/groups	役職	新しいグループを作成する
/groups/{group-id}/members/$ref	役職	グループにメンバーを追加する
/groups/{group-id}/members/{member-id}/$ref	DELETE	グループからメンバーを削除する
/identityProtection/riskyUsers/confirmCompromised	役職	ユーザーが侵害されたことを確認する
/users/{user-mail}	得る	電子メールでユーザーを取得

認証トークンを取得する

API Endpoint: <Base URL>/<tenant_id>/oauth2/token
Method: GET
Body:

{
     grant_type": "client_credentials",
     client_id": client_id,
     client_secret": client_secret,
     resource": "https://graph.microsoft.com"
}

Sample API Response:

{
    "token_type": "Bearer",
    "expires_in": "3599",
    "ext_expires_in": "3599",
    "expires_on": "1666161987",
    "not_before": "1666158087",
    "resource": "https://graph.microsoft.com",
    "access_token": "eyJ0eXAiOiJKV1Q...."
}

ユーザーとスコアを取得する

API Endpoint: <Base URL>/identityProtection/riskyUsers
Method: GET
Headers:

鍵	Value
Content-Type	アプリケーション/json
Accept	*/*
Authorization	ベアラー <auth_token>

Sample API Response:

{
    "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#identityProtection/riskyUsers",
    "@odata.nextLink": "https://graph.microsoft.com/v1.0/identityProtection/riskyUsers?$top=1&$skiptoken=*****cbe5460********************4f1442c63a7b211674hdb2850a4421048fc_1",
    "@microsoft.graph.tips": "Use $select to choose only the properties your app needs, as this can lead to performance improvements. For example: GET identityProtection/riskyUsers?$select=isDeleted,isProcessing",
    "value": [
        {
            "id": "f8c8dcb2-21b7-4e20-985c-52**603300d",
            "isDeleted": false,
            "isProcessing": false,
            "riskLevel": "high",
            "riskState": "confirmedCompromised",
            "riskDetail": "adminConfirmedUserCompromised",
            "riskLastUpdatedDateTime": "2024-03-14T09:59:29.085289Z",
            "userDisplayName": "User",
            "userPrincipalName": "user@onmicrosoft.com"
        }
    ]
}

すべてのグループを取得

API Endpoint: <Base URL>/groups
Method: GET
Headers:

鍵	Value
Content-Type	アプリケーション/json
Accept	*/*
Authorization	ベアラー <auth_token>

Parameters:

鍵	Value
$filter	groupTypes/any(s:s eq 'DynamicMembership') 以外
$top	999
$orderby	displayName
$select	id,displayName,groupTypes
$count	true

Sample API Response:

{
    "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#groups(id,displayName,groupTypes)",
    "@odata.nextLink": "https://graph.microsoft.com/v1.0/groups?$filter=groupTypes%2fany(s%3as+eq+%27DynamicMembership%27)&$top=1&$select=id%2cdisplayName%2cgroupTypes&$count=true&$skiptoken=RFNwdAoAAQAAAA",
    "value": [
        {
            "id": "826e5e6c-f533-4a93-8420-fc9592ae3ca0",
            "displayName": "TestDynamic",
            "groupTypes": [
                "DynamicMembership"
            ]
        }
    ]
}

新しいグループを作成する

API Endpoint: <Base URL>/groups
Method: POST
Headers:

鍵	Value
Content-Type	アプリケーション/json
Accept	*/*
Authorization	ベアラー <auth_token>

Body:

{
    "description": "Created group from Netskope Cloud Exchange via Microsoft Azure AD User Risk Exchange plugin.",
    "displayName": "Group Name",
    "mailEnabled": true,
    "mailNickname": "groupname",
    "securityEnabled": false,
    "groupTypes": [
        "Unified"
    ]
}

Sample API Response:

{
    "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#groups/$entity",
    "id": "6999bb7****************05b4e04155",
    "deletedDateTime": null,
    "classification": null,
    "createdDateTime": "2024-03-16T11:01:45Z",
    "creationOptions": [],
    "description": "Created group from Netskope Cloud Exchange via Microsoft Azure AD User Risk Exchange plugin.",
    "displayName": "Group Name",
    "expirationDateTime": null,
    "groupTypes": [
        "Unified"
    ],
    "isAssignableToRole": null,
    "mail": "groupname@netskopebd.onmicrosoft.com",
    "mailEnabled": true,
    "mailNickname": "groupname",
    "membershipRule": null,
    "membershipRuleProcessingState": null,
    "onPremisesDomainName": null,
    "onPremisesLastSyncDateTime": null,
    "onPremisesNetBiosName": null,
    "onPremisesSamAccountName": null,
    "onPremisesSecurityIdentifier": null,
    "onPremisesSyncEnabled": null,
    "preferredDataLocation": null,
    "preferredLanguage": null,
    "proxyAddresses": [
        "SMTP:groupname@netskopebd.onmicrosoft.com"
    ],
    "renewedDateTime": "2024-03-16T11:01:45Z",
    "resourceBehaviorOptions": [],
    "resourceProvisioningOptions": [],
    "securityEnabled": false,
    "securityIdentifier": "S-1-12-1-1771682685-1286044974-90333062-1430380724",
    "theme": null,
    "uniqueName": null,
    "visibility": "Public",
    "onPremisesProvisioningErrors": [],
    "serviceProvisioningErrors": []
}

グループにメンバーを追加する

API Endpoint: <Base URL>/groups/{group-id}/members/$ref
Method: POST
Headers:

鍵	Value
Content-Type	アプリケーション/json
Accept	*/*
Authorization	ベアラー <auth_token>

Body:

{
    "@odata.id": "https://graph.microsoft.com/v1.0/directoryObjects/{id}"
}

Sample API Response: (Status Code 204)

{}

グループからメンバーを削除する

API Endpoint: <Base URL>/groups/{group-id}/members/{member-id}/$ref
Method: DELETE
Headers:

鍵	Value
Content-Type	アプリケーション/json
Accept	*/*
Authorization	ベアラー <auth_token>

Sample API Response: (Status Code 204)

{}

ユーザーが侵害されたことを確認する

API endpoint: <Base URL>/identityProtection/riskyUsers/confirmCompromised
Method: POST
Headers:

鍵	Value
Content-Type	アプリケーション/json
Accept	*/*
Authorization	ベアラー <auth_token>

Body:

{
    "userIds": [
        "targeted-userId-1"
    ]
}

Sample API Response: (Status Code 204)

{}

ユーザーとスコアを取得する

API endpoint: <Base URL>/users/{user-mail}
Method: GET
Headers:

鍵	Value
Content-Type	アプリケーション/json
Accept	*/*
Authorization	ベアラー <auth_token>

Sample API Response:

{
    "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#users/$entity",
    "@microsoft.graph.tips": "This request only returns a subset of the resource's properties. Your app will need to use $select to return non-default properties. To find out what other properties are available for this resource see https://learn.microsoft.com/graph/api/resources/user",
    "businessPhones": [],
    "displayName": "Crest",
    "givenName": null,
    "jobTitle": null,
    "mail": "user@netskopebd.onmicrosoft.com",
    "mobilePhone": null,
    "officeLocation": null,
    "preferredLanguage": "en-US",
    "surname": null,
    "userPrincipalName": "user@netskopebd.onmicrosoft.com",
    "id": "e0ae0b3b-**********7-cb84372efc52"
}

パフォーマンスマトリックス

パフォーマンス測定は、これらのVM仕様を持つ大規模CEスタック上で、プラグインサイクルごとに50万人のユーザーとそのそれぞれのリスクスコアを取得することによって実施されます。

スタックの詳細	サイズ：大 RAM：32 GB CPU：16コア
Microsoft Azure AD から取得したユーザーリスクスコア	500K
所要時間	約120分

ユーザーエージェント

netskope-ce-5.0.0-ure-microsoft-azure-ad-v1.2.1

ワークフロー

再生ボタンをクリックして動画をご覧ください。

Azure ADプラグインのアクションを構成する

Microsoft Azure AD プラグインは以下をサポートしています。

• 「グループに追加」アクションを実行すると、選択したグループにユーザーが追加されます。
• 「グループから削除」アクションを実行すると、選択したグループからユーザーが削除されます。
• 「侵害確認」アクションは、リスクのあるユーザーに追加されたユーザーが実際にリスクのあるユーザーであることを確認し、そのユーザーのリスク状態を「侵害確認」に変更します。
• 「何もしない」を選択すると、ユーザーに対して一切の操作は行われません。

これらのアクションを設定するには、以下の手順に従ってください。

グループに追加

1. ユーザーリスク交換画面でActionsに移動し、 Add Action Configurationをクリックします。
2. ビジネスルール、構成Select 、構成済みのプラグインの名前を選択します。
3. 「アクション」ドロップダウンでAdd to Groupを選択します。
4. グループドロップダウンでCreate new groupを選択し、グループ名を入力して、Microsoft Azure ADに新しいグループを作成します。
5. Save .
   をクリックしてください
6. 手動で操作を実行するには、 Syncをクリックしてください。日数を入力し、 Fetchをクリックすると、この操作の影響を受けるユーザー数が表示されます。操作を実行するには、 Syncをクリックしてください。

グループから削除

1. ユーザーリスク交換画面でActionsに移動し、 Add Action Configurationをクリックします。
2. ビジネスルール、構成Select 、構成済みのプラグインの名前を選択してください。
3. 「アクション」ドロップダウンでRemove from Groupを選択します。
4. グループドロップダウンメニューから、削除するグループを選択します。
   
5. SaveをクリックしてからSyncクリックしてください。日数を入力し、 Fetchをクリックすると、この操作の影響を受けるユーザー数が表示されます。操作を実行するには、 Syncをクリックしてください。

Confirm Compromised

1. ユーザーリスク交換画面でActionsに移動し、 Add Action Configurationをクリックします。
2. ビジネスルール、構成Select 、構成済みのプラグインの名前を選択してください。
3. 「アクション」ドロップダウンでConfirm Compromisedを選択します。
4. SaveをクリックしてからSyncクリックしてください。日数を入力し、 Fetchをクリックすると、この操作の影響を受けるユーザー数が表示されます。操作を実行するには、 Syncをクリックしてください。

No Action

1. ユーザーリスク交換画面でActionsに移動し、 Add Action Configurationをクリックします。
2. ビジネスルール、構成Select 、構成済みのプラグインの名前を選択してください。
3. 「アクション」ドロップダウンでNo Actionを選択し、 「アラートを生成する」トグルを有効にします。
4. SaveをクリックしてからSyncクリックしてください。日数を入力し、 Fetchをクリックすると、この操作の影響を受けるユーザー数が表示されます。操作を実行するには、 Syncをクリックしてください。
   

Azure ADプラグインを検証する

プルを検証する

Microsoft Azure AD プラットフォームでは、ユーザーはHome > Risky Usersに表示されます。

User Risk Exchangeで、 Usersに移動して、Microsoft Azure ADプラグインから取得したユーザーを確認します。
また、 Loggingにアクセスして、Microsoft Azure AD プラットフォームからユーザーを取得するログを検索することもできます。

こんなフィルターを使います。

アクションを検証する

Cloud Exchange で実行された操作を検証するには、 Loggingにアクセスして、Microsoft Azure AD プラグインに関連するログを検索してください。




Microsoft Azure AD では、「グループに追加」と「グループから削除」のアクションを探してください。 

1. Home > Azure Active Directoryへ移動してください。左側のパネルにあるGroupsをクリックしてください。
2. グループ名を検索して選択してください。たとえば、このケースではNetskope 。 左側のパネルのMembersをクリックしてください。
   
   
3. あなたが実行した操作に基づいて、グループのメンバーを確認してください。

侵害されたアクションを確認する

1. Microsoft Azure プラットフォームにログインし、Microsoft Azure AD の危険なユーザーを検索します。
2.  リスク状態が表示されます。ユーザーが最初にリスクの高いユーザーに追加されると、そのリスク状態は「リスクあり」となり、アクションが実行された後は、ここに示されているように、リスク状態が「侵害済み」に変更される必要があります。
   

   Note: 「侵害の確認」アクションが実行されてから、Azure プラットフォームでユーザーのステータスが変更されるまでに数分かかる場合があります。

トラブルシューティング

プラグイン更新後のアクション設定で、グループ名の代わりにグループIDが表示されます

プラグインをv1.1.2からアップグレードした後最新バージョンでは、アクションにグループ表示名の代わりにグループIDが表示されます。

267******************-878e6f460a1c

What to do: アクションを編集し、以前に保存したグループに従ってグループを選択します。

グループがプラットフォームから削除された場合、アクションにグループIDとグループ名が表示されます。

Microsoft Azure AD からグループまたはグループ名が更新/削除された場合、アクション構成ではグループ名が以下のように表示され、ユーザーが「グループに追加」または「グループから削除」アクションを実行しようとするとエラーが発生します。

{"id": "26739fd0-bba6-4eb7-b761-878e6f460a1c", "displayName": "Netskope CE Azure AD Demo", "display_name": "Netskope CE Azure AD Demo (Security)", "group_type": "Security"}

What to do: グループが存在するかどうかを確認するか、Azure プラットフォーム上で同じ名前のグループを作成するか、アクション構成で別のグループを使用します。

警告ログを受信しました: グループへのユーザーの追加/削除ができません

既にグループに所属しているユーザーに対して「グループに追加」という操作を実行すると、以下の警告ログが出力されます。グループに所属していないユーザーに対して「グループから削除」操作を実行した場合も、同様の動作が見られます。

URE Microsoft Azure AD [Microsoft Azure AD]: Unable to add user with email 'crest@netskopebd.onmicrosoft.com' to group named 'Netskope' and ID '5bbe2369-24b4-44a2-b37c-778b9a77f7a3'. This error may occur if user already exist in group. Error: {'code': 'Request_BadRequest', 'message': "One or more added object references already exist for the following modified properties: 'members'.", 'innerError': {'date': '2024-03-18T06:31:08', 'request-id': '33b52b75-ffee-4ff5-95d2-6250205947ee', 'client-request-id': '33b52b75-ffee-4ff5-95d2-6250205947ee'}}

What to do: ユーザーが既にグループに所属しているかどうかを確認します。ユーザーが既にログインしている場合、このログが受信されます。