次世代APIデータ保護のためにGmailを設定するには、以下の手順に従ってください。
Next Generation API データ保護プラットフォームで Gmail を設定する前に、次の重要な点に注意してください。
-
現在、従来のバージョンの Gmail アプリを使用している場合、アプリは次世代プラットフォームに移行されます。 移行プロセスは、リリース 109 の一部としてすでに開始されています。 この移行は円滑に行われ、今後数週間以内に完了する見込みです。移行が完了すると、
Configure App Access > Classic > SaaSの下に Gmail アプリが表示されなくなります。しかし、-
GmailアプリはConfigure App Access > Next Gen > CASB APIで利用可能になります。
-
従来のポリシーは自動的に次世代 API データ保護に移行され、 Policies > API Data Protection > SAAS > Next Genの下で利用できるようになります。
-
GmailダッシュボードページはAPI-enabled Protection > SAAS (Next Gen) > Dashboardでアクセスできます。
-
さらに、 API-enabled Protection > SAAS (Next Gen) > Inventoryの下の在庫ページを表示できます。
-
-
現在使うのGmailアプリのクラシックバージョンを使わない場合は、 Configure App Access > Next Gen > CASB APIのGmailアプリを設定することができます。
前提条件
次世代APIデータ保護のためにGmailを設定する前に、前提条件を確認してください。
-
Google WorkspaceのBusiness StandardまたはBusiness Plusエディションのライセンスが必要です。
-
Netskopeとの連携のために、カスタムロールとユーザーを作成するためのGoogleスーパー管理者アカウントが必要です。
-
SaaS環境に、内部ドメインに属するゲストユーザーまたは外部ユーザーが存在する場合、Netskopeが露出を正確に分類できるように、適切な内部ドメインを設定する必要があります。内部ドメインを設定するには、この記事の手順に従ってください。
Netskope用のカスタムロールを作成して割り当てる
予定がない場合 Google スーパー管理者アカウントでは、カスタムロールを作成し、そのロールをユーザーに割り当てることで、次世代 API データ保護へのアクセス権を付与できます。 権限/スコープを付与するには デフォルトのGoogleスーパー管理者ロール、またはNetskope統合専用のカスタムロールを作成します。 このセクションでは、Netskope 用のカスタムロールを作成する手順について説明します。
-
スーパー管理者としてadmin.google.comにログインしてください。
-
ホームページの左上隅にある三本線をクリックして、 Account > Admin rolesに移動します。
-
Create new roleをクリックしてください。
-
役割の名前とデスクリプションを入力し、 CONTINUEをクリックします。
-
役割の管理者権限Select 。
Netskopeは、以下の権限を削除することを推奨しません。削除すると、API呼び出しやポリシー処理が失敗する可能性があります。Netskopeが必要とする権限の一覧は以下のとおりです。
Privileges 必要 ドメイン管理 この権限は、Googleワークスペースにドメインを登録するために必要です。Netskope
ドメインリストを使用して、ユーザーが内部ユーザーか外部ユーザーかを判断します。グループ > 読む グループ情報を取得するには、この権限が必要です。 ユーザー > 読む ユーザー情報を取得するには、この権限が必要です。 -
CONTINUEをクリックしてから、 CREATE ROLEをクリックしてください。
カスタムロールを作成したら、そのロールをユーザーに割り当てることができます。アカウントに役割を割り当てるには、 Directory > Usersに移動し、ユーザーアカウントをクリックし、 Admin roles and privilegesに移動して、上記で作成した役割を割り当てます。ユーザーはその後、NetskopeがGmailインスタンスへのアクセスを許可することを承認できます。
Netskopeサービスアカウントにスコープを付与する
このセクションでは、NetskopeのウェブアプリケーションとAPIクライアントをGoogleに登録して、Gmailのデータにアクセスできるようにするために必要な手順について説明します。
-
スーパー管理者としてadmin.google.comにログインしてください。
-
Security > Access and data control > API controlsへ移動してください。
-
API controlsページのDomain wide delegationの下にあるManage Domain Wide Delegationをクリックします。
-
Add newをクリックしてください。
新しいポップアップウィンドウが開きます。
-
クライアントIDには
104758972154652632520を入力してください。米国FedRAMPアカウントを接続する場合は、クライアントIDとして100732691572621694824を入力してください。
カナダ連邦政府のPBMMアカウントを接続する場合は、クライアントIDとして102493880960598784477を入力してください。 -
OAuthスコープには、以下のスコープを入力してください。
1行に1つのスコープを入力してください。-
https://www.googleapis.com/auth/admin.directory.user.readonly -
https://www.googleapis.com/auth/admin.directory.domain.readonly -
https://www.googleapis.com/auth/gmail.readonly -
https://www.googleapis.com/auth/admin.directory.group.member.readonly -
https://www.googleapis.com/auth/admin.directory.group.readonly
-
-
Authorizeをクリックしてください。
-
上記の手順が正しく行われたことを確認するには、 Netskope for Googleアプリが API クライアントのリストに表示されるかどうかを確認してください。
Netskope UIでGmailインスタンスを設定する
Netskopeがお客様のGmailインスタンスにアクセスすることを承認するには、以下の手順に従ってください。
-
NetskopeテナントUIにログインしてSettings > Configure App Access > Next Gen > CASB APIに移動します。
-
Appsの下でGmailを選択し、 Setup CASB API Instanceをクリックします。
Setup Instanceウィンドウが開きます。
-
API Admin Emailの下に、スーパー管理者またはカスタムロールを持つユーザーの Google アカウントを入力します。 Netskopeのカスタムロールの作成と割り当てを参照してください。
-
Administrator Emailの下に、ポリシー違反またはイベントがトリガーされたときに電子メール通知を受け取るユーザーの電子メール アドレスを入力します。 この手順は任意です。
-
Instance Nameの下に、SaaSアプリインスタンスの名前を入力してください。この手順は任意であり、空白のままにした場合、Netskopeは権限付与後にアプリインスタンスの名前を決定します。
-
Grant Accessをクリックしてください。使う、スーパー管理者、またはカスタムロールとパスワードを持つユーザーにログインし、 Sign Inをクリックするよう促されます。 設定結果ページが開いたら、 Closeをクリックします。
ブラウザを更新すると、インスタンス名の横に緑色のチェックマークが表示されます。
次に、次世代 API データ保護ポリシーを構成する必要があります。 これを行うには、 「次世代 API データ保護ポリシーの作成」を参照してください。