次世代 API データ保護用に Google カレンダーを構成する

次世代APIデータ保護のためにGoogleカレンダーを設定する前に、前提条件を確認してください。

• Business Standard 、 Business Plus 、またはEnterpriseエディションのライセンスが付与されたGoogle Workspace。

• Google Workspaceで、所属する組織単位に対してGoogleカレンダーが有効になっていることを確認してください。Googleカレンダーは、最上位レベル（親組織）または該当する子組織単位で利用できる必要があります。この設定を確認するには、admin.google.comにログインしてください。 Googleスーパー管理者アカウントにログインし、 Apps > Google Workspace > Drive and Docsに移動してください。 該当する組織単位について、 Service statusがONに設定されていることを確認してください。

  

• Netskopeとの連携のために、カスタムロールとユーザーを作成するためのGoogleスーパー管理者アカウントが必要です。

• SaaS環境に、内部ドメインに属するゲストユーザーまたは外部ユーザーが存在する場合、Netskopeが露出を正確に分類できるように、適切な内部ドメインを設定する必要があります。内部ドメインを設定するには、この記事の手順に従ってください。

予定がない場合 Google スーパー管理者アカウントでは、カスタムロールを作成し、そのロールをユーザーに割り当てることで、次世代 API データ保護へのアクセス権を付与できます。 権限/スコープを付与するには デフォルトのGoogleスーパー管理者ロール、またはNetskope統合専用のカスタムロールを作成します。 このセクションでは、Netskope 用のカスタムロールを作成する手順について説明します。

1. スーパー管理者としてadmin.google.comにログインしてください。

2. ホームページの左上隅にある三本線をクリックして、 Account > Admin rolesに移動します。

3. Create new roleをクリックしてください。

4. 役割の名前とデスクリプションを入力し、 CONTINUEをクリックします。

5. 役割に対する管理者権限Select 。

   Netskopeは、以下の権限を削除することを推奨しません。削除すると、API呼び出しやポリシー処理が失敗する可能性があります。

   Netskopeが必要とする権限の一覧は以下のとおりです。

   Privileges	必要
   レポート	投票方法を変更するには、この権限が必要です。
   ドメイン管理	この権限は、Googleワークスペースにドメインを登録するために必要です。Netskope ドメインリストを使用して、ユーザーが内部ユーザーか外部ユーザーかを判断します。
   グループ > 読む	グループ情報を取得するには、この権限が必要です。
   ユーザー > 読む	ユーザー情報を取得するには、この権限が必要です。

6. CONTINUEをクリックしてから、 CREATE ROLEをクリックしてください。

カスタムロールを作成したら、そのロールをユーザーに割り当てることができます。アカウントに役割を割り当てるには、 Directory > Usersに移動し、ユーザーアカウントをクリックし、 Admin roles and privilegesに移動して、上記で作成した役割を割り当てます。ユーザーはその後、NetskopeがGoogleカレンダーインスタンスへのアクセスを許可することを承認できます。

ご自身が所有するGCPを作成してください。このプロジェクトは、使う Netskope Google Workspaceのデータにアクセスするためのサービスアカウントをホストします。

Google Cloud ConsoleでGCPプロジェクトを作成するには、Googleドキュメントの「Google Cloudプロジェクトの作成」の手順に従ってください。

Google カレンダーとNext Generation API データ保護との連携に必要なAPIを有効にしてください。 console.cloud.google.comにログインしてください。作成した同じプロジェクトで、上部の検索バーに各APIを名前で検索し、 Enableをクリックします。

• Admin SDK API

• GoogleカレンダーAPI

• Google Drive API

Google クラウドサービスアカウントを作成してNext Generation API データ Protection 使うを作成し、データにアクセスしてそのクレデンシャルを生成・ダウンロードしてください。

1. 同じ GCP プロジェクトで、Service Accounts に移動し、+ Create service account をクリックします。

2. 名前をつけてデスクリプションをつけましょう。

   提案名: ng-casb-api-gcal とデスクリプション: Service account for CASB gcal

3. Create and closeをクリックしてください。

4. 新しいサービスアカウントをクリックし、 Details タブで Email と Unique ID (別名 クライアントID)をコピーします。

   NetskopeテナントでGoogleカレンダーインスタンスを設定する際には、電子メールIDが必要です。ドメイン全体への委任には、固有ID（別名クライアントID）が必要です。

5. KeysタブでAdd Key > Create new keyをクリックし、JSONを選択してダウンロードしてください。

   private_keyの値を手元に置いておいてください。このキーはNetskopeテナントでGmailインスタンスを設定する際に必要になります。

   「サービスアカウントキーの作成が無効になっています」というメッセージが表示された場合は、こちらの Google の記事に記載されているトラブルシューティングの手順に従ってください。

このセクションでは、NetskopeがGoogleカレンダーでデータにアクセスするために必要なドメイン全体の委任範囲を持つサービスアカウントを承認するために必要な手順を説明しています。

1. スーパー管理者としてadmin.google.comにログインしてください。

2. Security > Access and data control > API controlsへ移動してください。

3. API controlsページのDomain wide delegationの下にあるManage Domain Wide Delegationをクリックします。

4. Add newをクリックしてください。

   新しいポップアップウィンドウが開きます。

5. クライアントIDには、先ほど作成したサービスアカウントのUnique ID を入力してください。

6. OAuthスコープには、以下のスコープを入力してください。

   1行に1つのスコープを入力してください。

   • https://www.googleapis.com/auth/userinfo.email

   • https://www.googleapis.com/auth/userinfo.profile

   • https://www.googleapis.com/auth/admin.reports.audit.readonly

   • https://www.googleapis.com/auth/admin.directory.user.readonly

   • https://www.googleapis.com/auth/admin.directory.domain.readonly

   • https://www.googleapis.com/auth/admin.directory.group.readonly

   • https://www.googleapis.com/auth/admin.directory.group.member.readonly

   • https://www.googleapis.com/auth/calendar

   • https://www.googleapis.com/auth/drive.readonly

7. Authorizeをクリックしてください。

8. 上記の手順が正しく行われたことを確認するには、サービスアカウントがAPIクライアントリストに表示されていることを確認してください。

NetskopeがGoogleドライブインスタンスにアクセスすることを承認するには、以下の手順に従ってください。

1. NetskopeテナントUIにログインしてSettings > Configure App Access > Next Gen > CASB APIに移動します。

2. Appsの下でGoogle Calendarを選択し、 Setup CASB API Instanceをクリックします。

   Setup Instanceウィンドウが開きます。

3. API Admin Emailの下に、スーパー管理者またはカスタムロールを持つユーザーの Google アカウントを入力します。 Netskopeのカスタムロールの作成と割り当てを参照してください。

4. Administrator Emailの下に、ポリシー違反またはイベントがトリガーされたときに電子メール通知を受け取るユーザーの電子メール アドレスを入力します。 この手順は任意です。

5. Service Account Emailの下に、サービスアカウントの電子メール(JSONキーの「サービスアカウント作成またはclient_email」のステップ4)を入力してください。

6. Service Account Private Keyの下に、JSONキーからprivate_keyの値を入力してください。

   -----BEGIN PRIVATE KEY-----からn-----END PRIVATE KEY-----\nへコピーします。

7. Instance Nameの下に、SaaSアプリインスタンスの名前を入力してください。この手順は任意であり、空白のままにした場合、Netskopeは権限付与後にアプリインスタンスの名前を決定します。

8. Grant Accessをクリックしてください。使う、スーパー管理者、またはカスタムロールとパスワードを持つユーザーにログインし、 Sign Inをクリックするよう促されます。 設定結果ページが開いたら、 Closeをクリックします。

ブラウザを更新すると、インスタンス名の横に緑色のチェックマークが表示されます。

次に、「Next Generation API データ保護 Inventory ページを見て、Google Driveアカウント上のさまざまなエンティティについて深い洞察を得ることができます。 Inventoryページの詳細については、「次世代APIデータ保護インベントリ」をご覧ください。

Skope ITでは、監査イベントや標準的なユーザー行動分析アラートを受信できます。詳細については、次世代 API データ保護スコープ IT イベントをご覧ください。

次に、次世代 API データ保護ポリシーを構成する必要があります。 これを行うには、 「次世代 API データ保護ポリシー ウィザード」を参照してください。