API データ保護のための Google ドライブの構成

Google Drive の API データ保護を設定するには、 Netskopeウェブアプリケーションクライアントとして承認し、Google Drive インスタンスへのアクセスを許可する必要があります。

APIデータ保護は、Google Workspaceのすべてのエディション（ベーシック、ビジネス、エンタープライズ）をサポートしています。ただし、基本版では、共有ドライブおよびGoogleドライブの監査機能はサポートされていません。

ユーザーがファイルをアップロードした直後に閲覧した場合、NetskopeはGoogleドライブからのアップロード通知ではなく、閲覧イベント通知のみを受信します。これは、Google Workspaceのベーシック/リミテッドアカウントにおける既知の問題です。これは基本/制限付きアカウントであるため、Netskopeは閲覧イベントの通知をスキップします。この問題は、Google Workspaceのエンタープライズ/無制限アカウントでは発生していません。
Netskopeは、内部ユーザーが外部ユーザーの所有するファイルを編集しても、通知を受け取りません。要するに、外部所有のファイルはGoogleによる監査の対象外です。これはGoogleドライブの既知の制限事項です。

認証済みのユーザーは、Google Drive APIへのすべてのリクエストを承認する必要があります。Google ドライブ Google アカウントを認証し、ユーザーデータへのアクセスを許可するための OAuth 2.0 プロトコル。

この手順には2つの部分があります。

Google MarketplaceからNetskope for Google Appsをインストールしてください。
Netskope UIでGoogleドライブインスタンスを設定する

Googleアプリ用のNetskopeアプリをインストールする前に、Googleアカウントのすべての組織ユニットでGoogleドライブが利用可能であることを確認しましょう。確認するには、 admin.google.comにログインし、 Apps > Google Workspace > Drive and Docsに移動して、 Service statusがON for everyoneに設定されていることを確認してください。

Google MarketplaceからNetskope for Google Appsをインストールしてください。

管理者は、組織内のすべてのユーザーがアクセスできるように、ドメイン全体の委任機能を備えたNetskope APIデータ保護アプリをインストールする必要があります。

このURLにアクセスしてください： https://workspace.google.com/marketplace/app/netskope/1055677045599 。
Installをクリックしてください。
管理者のユーザー名とパスワードを使用してログインします。
Domain Installをクリックしてください。
Domain wide installポップアップウィンドウでCONTINUEをクリックします。
以下のポップアップウィンドウが表示されます。Turn ON forドロップダウンメニューでは、必ずプライマリドメインを選択してください。これにより、組織全体にアプリがインストールされることが保証されます。Terms of ServiceチェックボックスをSelect。Acceptをクリックしてください。

アプリのインストールが正常に完了すると、 Netskope has been installed!というメッセージが表示されます。Netskopeアプリのインストールが完了しました。

アプリをインストールしたら、以下の項目を確認してください。

Netskopeアプリは組織全体で有効になっています。admin.google.comにログインしてください。ホームページで、 Apps > Google Workspace Marketplace appsに移動します。Netskopeアプリを探し、 Distribution が On for everyoneに設定されていることを確認してください。

適切な範囲が認められています。admin.google.comにログインし、ホームページでApps > Google Workspace Marketplace appsに移動すると、スコープを確認できます。Netskopeアプリを探してクリックしてください。適用範囲は以下のとおりです。

スコープ名	スコープURL	Usage	Netskope使うケース
顧客関連情報を表示する	https://www.googleapis.com/auth/admin.directory.customer.readonly	顧客の詳細（コンタクト電子メール、組織タイトルなど）を表示します。	使いません。廃止予定。
顧客向けドメインのプロビジョニングを表示および管理します。	https://www.googleapis.com/auth/admin.directory.domain	顧客向けにドメインエイリアスをプロビジョニングおよび削除する顧客向けにマルチドメイン（セカンダリドメイン）をプロビジョニングおよび削除する	読むすべての管理対象ドメインをユーザーリストに使用し、共有ファイルの露出を計算します。
ドメイン内のグループを表示する	https://www.googleapis.com/auth/admin.directory.group.readonly	ドメイン上のグループの詳細（名前、メンバーなど）とメタデータ（ログイン情報など）を表示します。	Team Driveにグループが存在する場合は、そのグループのアクティブな内部メンバーを取得して、すべてのAPI呼び出しを実行させます。
ドメイン内の組織単位を表示する	https://www.googleapis.com/auth/admin.directory.orgunit.readonly	組織ユニットのメタデータ（名前やデスクリプションなど）を表示します	使いません。廃止予定。
ドメイン上のユーザーのプロビジョニングを表示および管理します。	https://www.googleapis.com/auth/admin.directory.user	ドメイン上のユーザーのプロビジョニングと削除、ドメイン上のユーザーの詳細情報（名前、住所、電話番号など）およびメタデータ（ログイン情報など）の表示と変更	全ユーザー一覧を表示し、ユーザーの詳細情報を取得します。
ドメイン内のユーザーのデータアクセス権限を管理します。	https://www.googleapis.com/auth/admin.directory.user.security	ドメイン内のユーザーのデータアクセス権限を表示および管理します。	ユーザーがインストールしたサードパーティ製アプリとプラグインの詳細を取得します（Googleアプリエコシステム）。
G Suiteドメインの監査レポートを表示する	https://www.googleapis.com/auth/admin.reports.audit.readonly	G Suiteドメインにおける管理者およびユーザーのアクティビティに関する監査レポート（パスワード変更イベントやドキュメント閲覧イベントなど）を表示します。	Googleドライブ、管理者、ログイン、モバイル、カレンダーの監査イベントを調査する。企業向けGoogle SuiteアカウントのGoogleドライブイベント用のWebhookサブスクリプション。
Googleドライブのすべてのファイルを表示、編集、作成、削除できます。	https://www.googleapis.com/auth/drive	このアプリは、Googleドライブ内のすべてのファイルへのアクセス許可を求めています。ファイルを表示したり、ファイルをアップロードおよびダウンロードしたり、ファイルを削除したり、ファイルを共有している相手の名前と名前を表示したり、他のユーザーとファイルを共有および共有を停止したり、ファイルからユーザーを削除したり、ドライブを整理したりするなど、あなたができることと同じことができます。	Googleドライブのイベント（チームドライブの詳細、ファイルメタデータ、ダウンロード、ファイル共有の詳細など）を取得できます。
電子メールを表示および変更しますが、削除はできません	https://www.googleapis.com/auth/gmail.modify	Gmailでメールを表示・編集できます。メールをスパム/ゴミ箱に移動する可能性がありますが、即座に永久に削除することはできませんラベルを作成、更新、削除します新しい電子メールを作成して送信します設定を表示します (フィルタやラベルなど)	使いません。廃止予定。
電子メールのメッセージと設定を表示する	https://www.googleapis.com/auth/gmail.readonly	電子メールメッセージを表示する電子メールメッセージを検索する設定を表示する (フィルターやラベルなど)	読む電子メールメタデータ、電子メール詳細など
電子メールアドレスを表示する	https://www.googleapis.com/auth/userinfo.email	アカウントに関連付けられている電子メールアドレスを表示する	Gmail、Google Driveのインスタンスを許可します。
あなたが公開している個人情報を含め、あなたの個人情報を確認できます。	https://www.googleapis.com/auth/userinfo.profile	このアプリは、あなたの氏名、プロフィール写真、性別、優先言語、およびあなたが公開しているその他の情報を閲覧する許可を求めています。	Gmail、Google Driveのインスタンスを許可します。

Netskope用のカスタム管理者ロールを作成する

予定がない場合 Google スーパー管理者アカウントを使用する場合は、カスタム管理者ロールを作成し、そのロールをユーザーに割り当てることで、API データ保護へのアクセスを付与できます。

Netskopeアプリの権限/スコープは、デフォルトのGoogleスーパー管理者ロールを使用するか、 Netskopeアプリ専用のカスタム管理者ロールを作成することで付与できます。このセクションでは、Netskope 用のカスタム管理者ロールを作成する手順について説明します。

admin.google.comにログインしてください。
ホームページの左上隅にある三本線をクリックして、 Account > Admin rolesに移動します。
Create new roleをクリックしてください。
役割の名前とデスクリプションを入力し、 CONTINUEをクリックします。

役割に付与する権限Select 。

Netskopeは、以下の権限を削除することを推奨しません。削除すると、API呼び出しやポリシー処理が失敗する可能性があります。

管理者コンソール権限

Google Workspaceで新しい役割が作成されると、管理者コンソールの権限が自動的に割り当てられます。管理コンソールでこの役割に付与されるアクセスレベルは、この役割に付与されている権限によって異なります。Netskopeが必要とする権限の一覧は以下のとおりです。

Privileges	必要
組織単位 > 読む	この権限は、Google アカウントの組織単位 (OU) を読むために必要です。
ユーザー > 読む	この権限は、Googleアカウントにユーザーを一覧表示するために必要です。
サービス > ドライブとドキュメント > 設定	この権限は、ファイルベースの通知アクティビティをすべて取得するために必要です。
セキュリティ > ユーザーセキュリティ管理、セキュリティ設定	この権限は、ディレクトリサービスにアクセスしたり、Googleアカウントにインストールされているアプリの一覧を表示したりするために必要です。
ドメイン設定	この権限は読むドメインに必要です。
レポート	この権限は、Webhookの購読およびポーリングの変更に必要です。

管理者API権限

API呼び出しを行うには、管理者API権限が必要です。

Privileges	必要
組織単位 > 読む	複数のドメイン/組織単位にわたるユーザー一覧を表示するには、この権限が必要です。
ユーザー > 読む	ユーザー一覧を表示するには、この権限が必要です。
グループ > 読む	この権限は、ユーザーが割り当てられたグループ情報を閲覧するために必要です。
ユーザーセキュリティ管理	この権限は、ディレクトリサービスにアクセスしたり、Googleアカウントにインストールされているアプリの一覧を表示したりするために必要です。
データ転送	この権限は、「所有者の変更」ポリシーアクションを実行するために必要です。
ドメイン管理	この権限は、内部/外部ドメインを決定するために必要であり、それらは露出計算に使用されます。

CONTINUEをクリックしてから、 CREATE ROLEをクリックしてください。

カスタムロールを作成したら、そのロールをユーザーに割り当てることができます。ユーザーはその後、NetskopeがGoogleドライブインスタンスへのアクセスを許可することを承認できます。

考えられる権限エラーとその解決策

Access to Google Workspace data via API is Restricted

症状：Google Workspaceでは、APIを介したファイル一覧表示やその他のファイル操作ができません。

バックエンドのエラーメッセージ: https://www.googleapis.com/drive/v2/files?alt=json へのリクエスト時に HTTPError403 が発生し、「ドメインポリシーによりサードパーティの Drive アプリが無効になっています」というエラーが返されました。

解決策: Admin Consoleの下でApps > Google Workspace > Drive and Docs > Features and Applicationsに移動し、 Drive SDKオプションがONに設定されていることを確認します。
Unauthorized app or scopes for Netskope

バックエンドエラーメッセージ: AccessTokenRefreshError: authorized_client: クライアントはアクセストークンを取得する権限がありませんこのメソッド

解決策： Admin Consoleの下にあるApps > Google Workspace Marketplace appsに移動し、Netskope アプリに必要なスコープがすべて含まれていることを確認します。どのスコープにも「読む-write」スコープではなく「読む専用」スコープがある場合は、それに応じてスコープを変更します。
Invalid credentials

症状：Google Workspaceでは、ユーザーがGoogleドライブに直接アクセスしたり、API経由でアクセスしたりすることができません。

バックエンドエラーメッセージ: https://www.googleapis.com/drive/v2/files?alt=json をリクエストすると HttpError 401 が「無効なクレデンシャル」を返しました

解決策： Admin Consoleの下でApps > Google Workspace > Drive and Docsに移動し、すべての組織単位と特定の組織単位についてService StatusがON for everyoneに設定されていることを確認します。

すべての組織単位、およびグループ/ユーザーが存在する特定の組織単位に対してService Statusを有効にする必要があります。このオプションがすべての組織単位（OU）または特定の組織単位（OU）で有効になっていない場合、Netskope はこれらの組織単位に属するグループ/ユーザーの Google ドライブのアクティビティにアクセスできません。

ユーザーが有効なGoogleドライブのライセンスを所有していることを確認してください。

Netskope UIでGoogleドライブインスタンスを設定する

NetskopeがGoogleドライブインスタンスにアクセスすることを承認するには：

NetskopeテナントUIにログインしてSettings > Configure App Access > Classic > SaaSに移動します。
Google DriveアイコンSelect 、次にSetup Instanceをクリックします。

Setup Instanceウィンドウが開きます。
Instance Name:あなたのGoogle組織のトップレベルドメイン名を入力してください。トップレベルドメインを確認するには、 admin.google.comにログインしてください。管理コンソールで、 Domains > Manage domainsに移動します。Primary Domainはトップレベルドメインです。
Instance Type以下のオプションから適切な機能Select 。
- APIデータ保護：このオプションSelectと、 Netskope SaaSアプリインスタンスをスキャンして、ファイル、ユーザー、その他のエンタープライズデータを一覧表示できるようになります。
- 隔離:DLP違反のある文書をアップロードした場合にファイルを隔離するオプション Select 。これにより、ファイルは隔離フォルダに移動され、そこで確認して適切な措置（ファイルのアップロードを許可するか、アップロードをブロックするか）を講じることができます。隔離の設定に関する詳細については、「隔離プロファイル」を参照してください。
- 法的保留：訴訟が合理的に予測される場合に、関連するすべての情報を保存したい場合は、このオプションSelect 。法的目的でファイルのコピーを保存することも、ポリシーの基準に合致する場合に選べます。法的保留の設定に関する詳細については、「法的保留プロファイル」を参照してください。
- マルウェア: ファイル、電子メール、添付ファイル、チャットメッセージ、投稿などからマルウェアを検出するには、このオプションSelect 。マルウェアのセットアップの詳細については、「 API データ保護のための脅威保護ポリシーの作成」を参照してください。
- フォレンジック: このオプションSelectと、違反を検出してフォレンジックフォルダにファイルを保存するフォレンジックプロファイルが適用されます。違反を検出してフォレンジックフォルダにファイルを保存します。フォレンジックの設定に関する詳細については、「フォレンジック」を参照してください。
  
  Netskope はもはやクラシックAPIのデータプロテクションの Forensic 機能をサポートしていません。代替案として、 Netskope 、次世代ワークフローを使用する新しい Google Drive インスタンスを作成することをお勧めします。詳細については、 Google Drive Forensic インスタンスの設定方法をご覧ください。
Enter the email address of the admins for Google Data Transferに、スーパー管理者またはカスタムロールを持つユーザーの電子メールアドレスを入力します(Netskopeについては「カスタム管理者ロールを作成する」を参照)。電子メールアドレスは以下のAPIへの完全なアクセス権を持つべきです:
- データ転送APIは、ドメイン内のユーザー間でデータを転送するために必要なものです。https://www.googleapis.com/auth/admin.datatransfer
Enter email address of the admins for Google Directoryに、スーパー管理者またはカスタムロールを持つユーザーの電子メールアドレスを入力します(Netskopeについては「カスタム管理者ロールを作成する」を参照)。電子メールアドレスは以下のAPIへの完全なアクセス権を持つべきです:
- ユーザー一覧を表示するために必要なディレクトリAPI：https://www.googleapis.com/auth/admin.directory.user
- セキュリティ API は、Google アプリエコシステムなどのサードパーティアプリを一覧表示するために必要なものです。https://www.googleapis.com/auth/admin.directory.user.security
- インスタンスのすべての内部ドメインを一覧表示するために必要なドメインAPI：https://www.googleapis.com/auth/admin.directory.domain
Enter email address of the admins for Google Driveに、スーパー管理者またはカスタムロールを持つユーザーの電子メールアドレスを入力します(Netskopeについては「カスタム管理者ロールを作成する」を参照)。電子メールアドレスは以下のAPIへの完全なアクセス権を持つべきです:
- ファイル一覧を表示するために必要なDrive API：https://www.googleapis.com/auth/drive
Enter email address of the admins for Google Reportsに、スーパー管理者またはカスタムロールを持つユーザーの電子メールアドレスを入力します(Netskopeについては「カスタム管理者ロールを作成する」を参照)。電子メールアドレスは以下のAPIへの完全なアクセス権を持つべきです:
- Audit Skope IT イベントの生成に必要なレポート API: https://www.googleapis.com/auth/admin.reports.audit.readonly
  
  電子メールアドレスフィールドごとに異なる電子メールアドレスを指定する場合は、各電子メールアドレスに適切な権限があることを確認してください。権限の詳細については、「Netskope のカスタム管理者ロールを作成する」を参照してください。
Save をクリックし、次にGrant Accessをクリックして、先ほど作成したアプリインスタンスを開きます。使うスーパー管理者またはカスタムロールとパスワードを持つユーザーにログインするよう促され、その後 Grantをクリックします。設定結果ページが開いたら、 Closeをクリックします。

Netskopeでは、アクセス権を付与する前に有効なGoogleドライブライセンスが必要です。
– アドレスフィールドごとに異なる電子メールアドレスを指定した場合、Google Directory API の電子メールアドレスのみがアクセスを許可されます。

ブラウザを更新すると、インスタンス名の横に緑色のチェックマークが表示されます。

Netskope APIコネクタとお客様のドメインのGoogleドライブAPIとの接続が確立されると、お客様のGoogleドライブドメインに関連付けられたユーザーとファイルのリストが表示されます。ファイル一覧やユーザー一覧などの機能は、リアルタイムで更新されません。それらは設定された時間間隔でデータが入力されます。ただし、ファイルやフォルダに対する実行ポリシーはリアルタイムで反映されます。

Googleドライブのフォレンジックフォルダの変更

GoogleはGoogleドライブにおいて、以下のフォルダ制限を設けています。

Googleドライブ内の共有ドライブに含まれていない単一のフォルダには、最大50万個のアイテムを保存できます。この制限は「マイドライブ」のルートフォルダには適用されません。

フォルダの制限に関する詳細は、 Google ドライブのフォルダ制限を参照してください。

この変更に対応するため、Netskope はフォレンジックフォルダの自動シャーディングを導入し、 Netskope Forensic Folder – という<current date hash> 名前形式の新しいフォルダが毎日作成されるようにしました。以降のすべての鑑識事案は、このフォルダに保存され、その後毎日新しいフォルダが作成されます。

よくある質問

What happens when this feature is released?

リリース 80 の展開後、次の 2 つのシナリオがあります:
1. 既存のNetskope Forensic Folder が子オブジェクトの制限に達しました – このケースでは、「マイドライブ」内にNetskope Forensic Folder_1Netskope という名前の新しいフォルダが作成され、その後毎日、このフォルダ内に Forensic Folder –<current date hash> という名前の新しいフォルダが作成されます。すべての新しいフォレンジックデータは、毎日作成されるこの新しいハッシュフォルダーにアップロードされます。
2. 既存のNetskope Forensic Folder が子オブジェクトの制限に達していません – この場合、名前にハッシュを持つ新しいフォルダーが既存のNetskope Forensic Folder自体内に毎日作成され、すべての新しいフォレンジックがこれらの新しいハッシュフォルダーにアップロードされます。

What happens to the older forensics and older forensics folder if the above is the case?

既存の古いフォルダやフォレンジックデータに変更はなく、以前と同じ状態で引き続き存在します。

Does the customer need to take any explicit action to use this feature?

お客様は何もする必要はありません。

Googleドライブでの所有権の動作を変更する

Googleドライブでは、フォルダの所有権を変更しても、変更されるのは選択したフォルダの所有権のみであり、フォルダ内のファイルは含まれません。例えば、フォルダの所有権をユーザーAからユーザーBに変更する場合：

フォルダの所有権がユーザーBに変更されます。
フォルダの内容（ファイルやフォルダなど）の所有権はユーザーBには変更されません。ユーザーAの所有権はそのまま維持されます。

これは、Googleがフォルダの所有権の変更を処理する方法です。

Googleドライブに接続されたアプリとプラグイン

Google App Ecosystem には、ドメインにインストールされているアプリの一覧が表示されます。 OAuth 2.0 トークン。以前のリリースでは、 Netskopeこれらのアプリを識別し、 CCIスコア、スコープ、およびアプリのタイプを使用して説明しました。バージョン48以降では、ユーザーは特定の基準に基づいてアプリのライセンスを取り消すポリシーを作成できるようになりました。この機能により、Google アプリエコシステムに表示されるサードパーティ製アプリに関するポリシーを作成できます。ポリシーは、アプリ ID、スコープの使用、 CCIスコアなどに基づく場合があります。ユーザーは、ポリシーのトリガーに含めるアプリと除外するアプリのリストを作成することもできます。アプリの無効化は、アプリをインストールしたすべてのユーザー、または選択したユーザーに対して行うことができます。

Googleチーム/共有ドライブのサポート

NetskopeはGoogleチーム/共有ドライブをサポートしています。Google チーム/共有ドライブは、ビジネスアカウントおよびエンタープライズアカウントでのみ利用可能です。主な特徴は以下のとおりです。

チーム内/共有ドライブ内および外部で共有されたコンテンツを追跡します。
チーム/共有ドライブのポリシー（遡及適用ポリシーおよび継続適用ポリシーを含む）に基づいて、機密性の高いコンテンツがないかファイルをスキャンします。
組織のチームドライブ／共有ドライブにおけるアクティビティを監視する。
チーム/共有ドライブのイベントに関する監査ログをサポートします。

Policies > API Data Protection > SaaSページからGoogleチーム/共有ドライブのポリシーを設定できます。

– APIデータ保護のポリシーウィザードページにTeam/Shared Driveフォルダを配置するには、Team/Shared Driveフォルダがアクティブ状態であることを確認しましょう。確認するには、 admin.google.comにログインし、 Apps > Google Workspace > Drive and Docs > Manage shared drivesに移動して、チーム/共有ドライブフォルダがアクティブな状態になっていることを確認してください。
– チーム/共有ドライブのメンバーのうち、少なくとも1人が管理者権限を持っていることを確認してください。これは、チームドライブファイルのスキャンとリスト、進行中および遡及的なAPI データ保護ポリシースキャンに必要です。
– 管理者が有効な Google Workspace Business または Enterprise ライセンスを所有していることを確認してください。
– すべてのユーザー、ユーザーのサブセット、ユーザープロファイル、ユーザーグループ、およびドメインのサブセットは、Googleドライブの「マイドライブ」フォルダ内のコンテンツをスキャンします。すべてのチームドライブおよび一部のチームドライブは、Googleドライブの「チームドライブ」または「共有ドライブ」フォルダ内のコンテンツをスキャンします。「マイドライブ」と「チーム/共有ドライブ」の両方をスキャンする必要がある場合は、別々のポリシーを作成しましょう。

Google共有ドライブの変更通知の動作

アクセス制限アクションの場合、外部ユーザーが Google 共有ドライブ内の任意のユーザーとファイルを共有すると、 Netskopeインシデント/アラートを生成します。 Google 共有ドライブからランダムに選択された内部ユーザー。これは、Netskopeが外部ユーザーとしてGoogle共有ドライブにクエリを実行できないためです。
ユーザーが Google Shared Drive で外部ユーザーとフォルダを共有すると、 Netskopeファイル通知を処理します。ランダムに選択された内部ユーザー。これは、Googleが外部ユーザー情報をNetskopeに送信しないこと、そしてNetskopeが外部ユーザーとしてGoogle共有ドライブに問い合わせることができないためです。