このドキュメントでは、Blue Coat ProxySGを設定して、SaaSアプリケーションのトラフィックをNetskopeクラウドプロキシに転送する方法について説明します。
NetskopeのクラウドプロキシはNetskopeのユーザーインターフェースでの設定は不要ですが、デフォルトでは有効になっていません。ソリューションのセキュリティを維持するため、テナントごとにアクセス制御ルールが設定されています。有効化できるようカスタマーサポートにチケットを送信してください。また、プロキシを許可リストに追加するために、プロキシのパブリックIPアドレスをご提供いただく必要がありますので、ご準備ください。出所不明の通信は許可されていません。
開始する前に、 Netskopeルート証明書と CA 証明書を取得する必要があります。また、管理対象アプリケーションを制御するために Blue Coat で使用する URL のリストも取得する必要があります。 これらのアイテムはNetskopeのユーザーインターフェースで利用可能です。
Blue CoatにインポートするためのNetskope証明書を取得するには、 Settings > Manage > Certificates > Signing CAにアクセスしてください。下にスクロールすると、ルート証明書と中間証明書をダウンロードできます（これらは以下の手順1で必要になります）。
 |
URL のリストを取得するには、 Settings > Security Cloud Platform > Steering Configurationに移動してステアリング構成を選択してください。 。 ダウンロード設定のドロップダウンリストでDesktop Domains Select 。
これにより、以下の Blue Coat 設定 (ステップ 4) で使用する URL のリストが生成されます。
これらのアイテムが揃ったら、Blue Coatでプロキシチェーンを設定する準備が整います。
Blue Coatを設定するには：
- Netskope から証明書を Blue Coat ProxySG CA 証明書ストア ( Configuration tab > SSL > CA Certificates > CA Certificates tab > Import ) にインポートします。
- 該当する場合は、適切な認証局証明書リストをインポートしてください。例えば「browser-trusted」（ Configuration tab > SSL > CA Certificates >CA Certificate List tab > Edit ）。
- 転送ホストとして機能するアップストリームプロキシのホスト名とポート番号を定義します。以下に例を示します。( Configuration tab > Forwarding > Forwarding Hosts > Forwarding Hosts tab > New) )プロキシホスト名は
pxc-<tenant-URL>である必要があります。これは最低限必要な構成です。
- Blue Coat ProxySG ポリシーに、転送する必要のあるトラフィックの SaaS アプリ ドメインのリストを定義するカテゴリ オブジェクトを作成します ( Configuration tab > Policy > Visual Policy Manager > Configuration > Edit categories … )。
Netskope UIから取得したデスクトップドメインリスト。 この管理リストが変更されると、カテゴリオブジェクトに新しいリストを追加する必要があります。
- Blue Coat ProxySG ポリシーで転送レイヤーを作成し、以前に取得した SaaS アプリ ドメインのリスト ( Configuration tab > Policy > Visual Policy Manager > Forwarding layer tab ) を含むサーバー URL カテゴリ オブジェクトに宛先を設定するルールを作成し、ルールに対応する宛先列のオブジェクトを右クリックします。Set > New > Server URL Categoryをクリックしてください。
アクションは、以前に定義された転送ホスト（ Configuration tab > Policy > Visual Policy Manager > Forwarding layer tab ）を含む転送オブジェクトに設定されます。ルールに対応するアクション列のオブジェクトを右クリックして、 Set > New > Select Forwardingをクリックします。HTTPS SaaSトラフィックのみに関心があるため、サービス列は
ALL HTTPSに設定する必要があります。
- まだ行っていない場合は、Blue Coat ProxySG ポリシーで SSL インターセプト レイヤーを作成し、SSL インターセプトを有効にするルールを作成します ( Configuration tab > Policy > Visual Policy Manager > SSL intercept layer tab )。ルールに対応するアクション列のオブジェクトを右クリックして、 New > Enable SSL Interceptionをクリックします。このレイヤーは、リクエストにIDとIPアドレスのヘッダーを挿入するために必要です（これについては後述します）。
- Blue Coat ProxySG ポリシーでウェブ アクセス レイヤーを作成し、結合されたアクション オブジェクトを含むルールを作成します。 宛先は、カテゴリ オブジェクト ( Configuration tab > Policy > Visual Policy Manager > Web access layer tab ) で以前に定義された SaaS アプリ ドメインを含むリクエスト URL カテゴリ宛先オブジェクトに設定され、ルール ( New > Request URL category ) に対応する宛先列のオブジェクトを右クリックします。
結合されたアクションオブジェクトは、いわゆる制御要求ヘッダーオブジェクトと呼ばれる2つのオブジェクトで構成されます。1 つの制御要求ヘッダーオブジェクトはX-Forwarded-Forヘッダーをクライアント IP アドレスに設定し、別の制御要求オブジェクトはX-Authenticated-Userヘッダーを認証クレデンシャルに設定します。 「サービス」列には、フォワードチェーンプロキシの健全性ステータスが設定されます。これは、リクエストがNetskopeクラウドプロキシに転送される場合にのみヘッダーが挿入されるようにするためです。
- 健康状態オブジェクトを作成するには、 NewをクリックしてからHealth Statusを選択します。健康状態の名前を入力し、 OKをクリックします。
- ポリシーを適用してください。