ディレクトリインポーターの設定

ユーザー情報URL

Netskopeクラウドとユーザー情報を同期するためのURL。このURLは、NetskopeテナントUIのSettings > Tools > Directory Toolsから取得できます。

ディレクトリ設定

ディレクトリ設定には、以下のオプションが含まれます。

ディレクトリサービス

以下のオプションが含まれます。

Active Directory

ディレクトリ インポーターは、フォレスト内のすべてのドメインを自動的に検出し、情報を取得します。 「ドメインをSelectボタンをクリックすると、このダイアログボックスが開きます。ここで、含めたいドメインを選択できます。

Active Directory V2 (AD v2)

Active Directoryはドメインフォレスト内のすべてのデータを照会しますが、これはクエリのパフォーマンスに悪影響を与える可能性があります。AD v2オプションは、すべてのドメインから変更されたユーザーまたはグループのみをクエリすることで、クエリのパフォーマンスを向上させます。

AD v2 の使用は以下に依存します。

• LDAP Server Capability: 1.2.840.113556.1.4.417(LDAP_SERVER_SHOW_DELETED_OID) ( [MS-ADTS]: LDAP_SERVER_SHOW_DELETED_OID )。

• uSNChanged ( USN変更属性 - Win32アプリ)属性。

• AD Importer service account credentials: 以下のアクセス権限を持つ管理者権限が必要です。

  • ユーザーまたはグループが存在するすべてのOUに対するアクセス許可。

  • 削除されたオブジェクトへの読むアクセス。

• 特定のユーザーに対して「削除済みオブジェクト」の閲覧権限を追加する:

  1. ドメイン管理者グループのメンバーであるユーザーアカウントを使用して、ドメイン内の任意のドメインコントローラーにログインします。

  2. Go to Start > Run and type cmd.

  3. 次のコマンドを入力してください: dsacls <deleted_object_dn> /takeownershipここで、 deleted_object_dnは削除されたディレクトリ オブジェクトの識別名です。

     例えば、 dsacls “CN=Deleted Objects,DC=gng,DC=local” /takeownership

  4. 削除済みオブジェクト コンテナー内のオブジェクトを表示する権限をユーザーまたはグループに付与するには、次のコマンドを入力します。 dsacls <deleted_object_dn> /G <user_or_group>:<Permissions>
     ここで、 deleted_object_dnは削除されたディレクトリ オブジェクトの識別名、 user_or_groupは権限が適用されるユーザーまたはグループ、Permissions は付与する権限です。

• サービスコマンド用にユーザーを設定する前に、フォレスト内の各ドメインに対してこのコマンドを実行してください。

ADインポーターのプロセス概要

ADImporterV2は、Active Directoryを照会するための新しい設計を採用しており、以下のモードで動作します。

• インクリメンタルモード：これはパフォーマンスが最も最適化されたモードです。 インクリメンタルクエリ。 したがって、ADからは変更されたオブジェクトのみを取得します。

  条件: ADImporter がフィルターなしの Active Directory V2 で構成されている。

  ADインポーターは今、invocationIDを検証し、InvocationIDの検証失敗があればケースにログインします。 Active Directory v2 は、Active Directory から変更されたオブジェクトを取得するために、増分モードで uSNChanged 値に依存しています。使う uSNChanged の値を理解するには、使う uSNChanged の値を理解するには 、Example Code to Retrieve Changes 使う USNChanged を参照してください。

• FullSync モード: 不可能 フィルタ構成で増分クエリを実行することはできません。受信したデータ セットはフィルタリングされており、スコープ外になったオブジェクトは受信されないためです。 デルタをローカルで計算するには、 FullSyncモードを使用します。

  いつ: ADImporter がNone以外のフィルタで Active Directory V2 を構成している場合。

• 再同期モード：属性マッピングに変更があった場合、データストアのスキーマが変更されます。これには、すべてのユーザーとグループを新しいスキーマに移行する必要があります。

  条件: ADImporterがActive Directory V2で構成されており、属性マッピングの変更またはsecureUPN値の変更があった場合。

その他のディレクトリサービス

ディレクトリ インポーターは、[ディレクトリ属性] ダイアログボックスで指定された LDAP サーバーに接続し、すべてのユーザーおよびグループ情報を取得します。 Set Attributesをクリックしてこのダイアログを開きます。

• サーバー名：LDAPディレクトリサーバーのホスト名またはIPアドレスとポート番号。

• ベース DN: Directory Importer がユーザーの検索を開始するディレクトリ ルート。

• ユーザー名: ディレクトリ サーバーからデータを読む権限を持つアカウントのユーザー名。

• パスワード：上記で入力したユーザー名アカウントのパスワード。

• ページング検索：ディレクトリサーバーがページング検索をサポートしている場合、ページング検索を有効にします。

• ページサイズ：検索用のページサイズ 検索用。

• 接続テスト：上記の情報をすべて入力したら、このボタンをクリックして接続をテストし、ユーザー名を検証してください。検証が成功すると、ディレクトリインポーターは、ディレクトリスキーマで見つかったクラス名と属性名を使用して、ユーザー情報、グループ情報、およびOU情報を埋めようとします。

• ユーザー情報、グループ情報、OU情報: ディレクトリインポーターがディレクトリサーバーからユーザー情報を取得するために必要なクラス名と属性名。 他のディレクトリサーバーにおける同等の属性名がActive Directoryの属性名と異なる場合は、ドロップダウンリストから適切な値を選択できます。属性名にカーソルを合わせると、その属性の意味がポップアップメッセージで表示されます。

フィルターオプション

フィルターオプションには以下が含まれます。

なし

ユーザー検索時にはフィルタリングは適用されません（このオプションを選択すると、「含める」と「除外する」のオプションは無効になります）。選択した範囲内のすべてのユーザーとそのグループは、Netskopeクラウド上のテナントインスタンスにアップロードされます。

LDAPクエリ

「LDAPクエリ」 Select 、LDAPクエリのフィルタリングを有効にするダイアログボックスが開きます。 クエリを入力した後、 Test LDAP Queryをクリックして正しく動作することを確認してください。

設定するには：

1. ユーザーとグループのクエリをそれぞれのボックスに入力してください。 

2. Applyをクリックしてウィンドウを閉じます。 

3. メインウィンドウのOKをクリックしてください。

グループ

「グループ」 Selectと、ディレクトリグループの名前が表示されるダイアログボックスが開きます。 ユーザーとグループをインポートする必要のあるグループSelect 。 メンバー グループからユーザーとグループもインポートする場合（ネストされたルックアップ）、チェックボックスAdd users and groups from Sub Groups も選択してください。Applyを押してからCloseを押してください。

組織単位（OU）

Select 組織グループを起動して、このダイアログボックスを開きます。このダイアログボックスにはOUの名前が含まれています。 インポートしたいユーザーやグループをSelectするOUです。サブOUからもユーザーとグループをインポートする場合は、チェックボックスAdd Users and Groups from Sub OUも選択してください。Applyを押してからCloseを押してください。

ダイナミックグループ

Dynamic Groups Selectと、動的グループを作成するためのLDAPクエリを指定するオプションが表示されるダイアログボックスが開きます。

設定するには：

1. フィルターオプションでDynamic Groups Select 。 

2. 指定された欄に、動的グループ名と対応するLDAPメンバーユーザーのクエリを入力してください。 

3. Addをクリックしてください。

4. すべてのグループが追加されたら、メインウィンドウでApplyをクリックし、 OKをクリックします。

   

Include

選択すると、選択したグループまたはドメインに属するユーザーがエクスポートされます。

Exclude

選択すると、フィルターで指定したグループまたは組織単位以外のグループまたは組織単位に属するユーザーがエクスポートされます。

ドメインSelect

インポートする必要のあるドメインを設定します。また、ドメイン内で接続する特定のドメインコントローラーを選択してください。

Active Directory V2では、一意の識別子、電子メールアドレス、および正規名のみを変更できます。Active Directoryのみをサポートしているため、その他のマッピングはすべて固定されています。Select Domainsをクリックすると、次の画像に表示されているオプションが表示されます。

Active Directory V2 モードでは、 Page Sizeオプションを使用して LDAP リクエストのページネーションを許可します。 

 デフォルトでは、ページネーションが有効になっており、ページサイズは1000です。この設定は、Active Directory V2 の [ドメインのSelect ] > [ドメインと設定] ページで変更できます。 ページサイズを調整するには：

1. Enable Used Page Search.

2. Page Size欄に希望の値を入力してください。

3. ApplyをクリックしてSelect Domainsページを閉じます。

4. 変更を適用するには、メインページのOKをクリックしてください。

SSLを使うディレクトリサーバーへの接続

選択すると、Directory Importer は LDAP を使用してディレクトリ サーバーに接続し、Directory Importer と他のサーバー間の通信が暗号化されます。

これには以下のオプションが含まれます。

• User Info Collect Interval: Netskopeクラウド上のテナントインスタンスにユーザー情報がエクスポートされる間隔を分単位で入力してください。

• Log Level: ログファイルパスの場所に指定されたファイルに書き込まれるログの粒度と詳細レベルをSelect 。 ログレベルはメッセージの深刻度を表します。ログレベルには、ERROR、WARNING、INFO、DEBUGの4種類があります。

• Proxy Settings: ディレクトリインポーターからNetskopeクラウドへのトラフィックフローに明示的なプロキシが存在する場合。

  デフォルトでは、ディレクトリ インポーター ディレクトリ インポーター サービスがインストールされているユーザーのプロキシ設定を使用して、 Netskope Cloud と通信します。 または、プロキシ設定をNetskopeクラウドと通信するディレクトリインポーター用に定義することもできます。

  • ディレクトリインポーターユーザーのインターネットプロキシ設定： ディレクトリインポーターサービスがインストールされているユーザーアカウントに定義されているプロキシ設定。

  • PAC ファイルスクリプトを使用: ここに入力した URL から PAC ファイルによって定義されたプロキシ設定を使用します。

  • プロキシサーバー： ここに入力されたプロキシサーバーのアドレスとポート番号。

• Manageability: 削除されたユーザーの割合が指定された数を超えた場合、AD Importerの同期を停止し、テナント管理者に通知を送信します。

  有効にすると、ADImporterの同期は、設定された値よりも大きい値を検出した場合に中止されます。また、電子メールを通じてプライマリ テナント管理者に通知します。 同期を継続するには、管理者が手動で操作を行う必要があります。

  • 意図したユーザーが削除操作を実行した場合、管理者は実際の削除率よりも高い削除率を設定したり、この機能を一時的に無効にしたりすることができます。同期が完了したら、設定を元に戻してください。

  • 意図しないユーザーが削除してしまった場合は、それ以上の措置を講じる前に、問題のトラブルシューティングを行ってください。

• Additional User Attributes: Directory Importer が AD または LDAP サーバーに接続すると、標準のユーザー情報の取得に加えて、ここで追加されたカスタム属性も読み取られます。 他の情報と同様に、追加、変更、または削除されたカスタム属性も定期的にプロビジョナーに送信されます。

• Send User Identity for Proxy Chaining: Netskopeプロキシチェーン機能を使用するタイミングSelectエンタープライズBluecoatプロキシからNetskopeにトラフィックを誘導します。

ログファイルパス

ディレクトリインポーターが対応するNetskopeログを送信するシステム上の場所を表示します。

状態

選択したコンポーネントの状態を表示します。

サービス名

現在アクティブなディレクトリインポーターの名前を表示します。

Active Directory V2 の設定

V2固有の設定はファイルC:\Users\Public\Netskope\DirectoryImporter_ADv2\config_controls_v2.jsonにあります。

このファイルは以下のフィールドで構成されています。

• flags: これは、ADImporterV2 コードの動作を制御するためのものです。例えば、店舗の会員情報を更新する場合など。

  値は常に0に設定されます。

  • 0x1: メンバーシップの調整

  • 0x2: 増分クエリをフルクエリで上書きします（FullSyncモード）。これは、OU の名前変更時、または AD と datastore_v2.json の間に不一致が生じ、更新が必要な場合に必要となります。

  • 0x4: 古いメンバーシップの調整

• log_settings: このフィールドは、V2 でログ記録をきめ細かく制御します。

  INITIALIZE  = 0x1
  DISCOVERY   = 0x2
  QUERY       = 0x4
  LDAP_ENTRY  = 0x8
  MEMBERSHIP  = 0x10
  POSTPROCESS = 0x20
  DUMPSTORE   = 0x40
  RESYNC      = 0x80

• user_filter: この設定は、検索範囲を制限するために、LDAPフィルタに追加の制約を追加するものです。たとえば、デフォルトでは、ユーザーに対して ADImporterV2 を使います (objectClass=user)。 ユーザーのみに制限し、コンピューターアカウントを除外するには、 次の値: "user_filter": "(samAccountType=805306368)" 。

• group_filter: この設定は、検索範囲を制限するために、LDAPフィルタに追加の制約を追加するものです。例えば、デフォルトでは ADImporterV2 グループの場合は (objectClass=group) です。 セキュリティグループのみに制限するには、 次の値"group_filter": "(groupType:1.2.840.113556.1.4.803:=2147483648)"を使用できます。

• MAX_REQUEST_SIZE: これは、各ユーザーまたはグループのリクエストの最大サイズを設定するためのものです。

ADImporter Directory ServiceをActive Directory V2に設定するだけで、V2への移行が可能です。これは初回はフルリシンク（すべてのユーザーとグループに対して更新要求を送信）をトリガーし、その後は連続するイテレーションでデルタ同期を実行します。

V1からV2への移行におけるベストプラクティスとして、以下の手順を実行してください。

1. 準備：既存のV1構成を確認し、V2でサポートされている構成と一致しているかどうかを確認します。

   • 既存の構成が「その他のディレクトリサービス」である場合は、以下の条件が満たされていることを確認してください。

     • Active Directory環境であり、OpenLDAPやGoogleLDAPなどの他のLDAPはサポートされていません。

     • V2では、ユーザーの固有識別子とメールアドレス、およびグループの正規名のカスタムマッピングのみをサポートしています。他の属性がカスタム値にマッピングされている場合、デフォルト値に変更される可能性があります。

   • 既存の設定が secureUPN機能を使用してUPN値をハッシュ化します。

   • V2モード フォルダーC:\Users\Public\ Netskope \DirectoryImporter_ADv2。 このパスに関して、以下の点を確認してください。

     • サービスアカウントには、このパスを作成し、そのフォルダ内にファイルを作成するのに十分な権限が付与されています。

     • このドライブには、datastore_v2.json およびその他のファイルを作成するのに十分なストレージ容量があります。 

   • インクリメンタル クエリを使用する予定がある場合は、サービス アカウントが AD の「削除されたオブジェクト」パーティションに対する読む権限で構成されていることを確認してください。

      インクリメンタルクエリは Noneフィルターオプションでのみ有効で、同期のパフォーマンスを向上させます。 もう一方のフィルターについては、目に見えるメリットは得られないかもしれません。

2. 変更：ステップ1が完了したら、 以下の手順でV2に移行します。

   1. 構成ファイル C:\Program Files\Netskope\NSAdapters\ADImporter\nsADImporterConfig.json をバックアップします。

   2. Netskope Adaptors Configuration Utilityアプリケーションを開き、「ディレクトリインポーター」を選択します。

   3. ディレクトリサービスについては、ドロップダウンメニューから「Active Directory V2」 Select 。

   4. 「ドメインSelectクリックし、属性マッピング、選択されたドメイン、およびその他の設定を確認してください。 次に変更を適用して閉じます。

      「適用」が無効になっている場合は、ドメインの選択を解除して再度選択するなど、ダミーの変更を行ってください。そうすると、「適用」が有効になります。

   5. 「詳細設定」をクリックして変更内容を確認し、「閉じる」をクリックしてください。変更内容がある場合は、「適用して閉じる」をクリックしてください。

   6. 「OK」をクリックして設定を保存し、サービスを再起動してください。設定変更を破棄したい場合は、「キャンセル」を押してすべての変更を破棄できます。

3. 確認：以下の項目をチェックして、すべてが正常に動作しているかどうかを確認してください。

   • C:\Users\Public\Netskope\DirectoryImporter_ADv2 が作成されているかどうかを確認してください。

   • ログにエラーがないか確認してください。

4. ロールバック：上記の手順で問題が発生した場合は、以下の手順で元に戻すことができます。

   このロールバックは、V2同期が失敗した場合にのみ適用されます。

   • Netskope Adaptors Configuration Utilityが開いていないことを確認してから、手順2aでバックアップした設定ファイルを復元してください。

   • C:\Users\Public\Netskope\adimporter\datastore.json が存在しず、C:\Users\Public\Netskope\DirectoryImporter_ADv2\resync_datastore.json が存在する場合は、C:\Users\Public\Netskope\DirectoryImporter_ADv2\resync_datastore.json を C:\Users\Public\Netskope\adimporter\datastore.json に移動します。

   • Netskope Adaptors Configuration Utilityを開き、以前の設定と一致する設定を確認してから、「OK」を押してサービスを再起動します。

   • V2による同期が数回成功した後にロールバックを希望する場合、古いユーザー/グループが存在する可能性があります。