次世代APIデータ保護のためのGoogleドライブの設定

Googleドライブの次世代APIデータ保護を設定するには、以下の手順に従ってください。

前提条件

次世代APIデータ保護のためにGoogleドライブを設定する前に、前提条件を確認してください。

Business Standard 、 Business Plus 、またはEnterpriseエディションのライセンスが付与されたGoogle Workspace。
Netskopeとの連携のために、カスタムロールとユーザーを作成するためのGoogleスーパー管理者アカウントが必要です。
Google Workspaceで、所属する組織単位に対してGoogleドライブが有効になっていることを確認してください。Google ドライブは、最上位レベル（親組織）または該当する子組織単位で利用可能である必要があります。この設定を確認するには、admin.google.comにログインしてください。 Googleスーパー管理者アカウントにログインし、 Apps > Google Workspace > Drive and Docsに移動してください。該当する組織単位について、 Service statusがONに設定されていることを確認してください。
Google Drive SDKが有効になっていることを確認してください。確認するには、 admin.google.comにログインしてください。 Googleスーパー管理者アカウントにログインし、 Apps > Google Workspace > Drive and Docs > Features and Applications に移動して、 Drive SDKがオンになっていることを確認してください。
SaaS環境に、内部ドメインに属するゲストユーザーまたは外部ユーザーが存在する場合、Netskopeが露出を正確に分類できるように、適切な内部ドメインを設定する必要があります。内部ドメインを設定するには、この記事の手順に従ってください。
予定がある場合は Google ラベルバッジについては、ラベルの権限がCan view this labelまたはCan apply labels and set valuesに設定されていることを確認してください。

権限を設定するには：
1. スーパー管理者としてadmin.google.comにログインしてください。
2. 左側のナビゲーションバーで、 Security > Access and data control > Label managerを展開します。
  
  ラベルマネージャーを使用するには、「分類ラベルの管理」管理者権限が必要です。
3. Classification labelsの下で、最初にランク付けされたラベルをクリックします。
4. 右側のナビゲーションで、 Permissionsの下のEditをクリックし、権限をCan view this labelまたはCan apply labels and set valuesに設定します。
5. Saveをクリックしてください。
6. このラベルに対してDrive and Docsオプションが有効になっていることを確認してください。Gmailを選択すると、機能が正常に動作しなくなります。

Netskope用のカスタムロールを作成して割り当てる

予定がない場合 Google スーパー管理者アカウントでは、カスタムロールを作成し、そのロールをユーザーに割り当てることで、次世代 API データ保護へのアクセス権を付与できます。権限/スコープを付与するにはデフォルトのGoogleスーパー管理者ロール、またはNetskope統合専用のカスタムロールを作成します。このセクションでは、Netskope 用のカスタムロールを作成する手順について説明します。

スーパー管理者としてadmin.google.comにログインしてください。
ホームページの左上隅にある三本線をクリックして、 Account > Admin rolesに移動します。
Create new roleをクリックしてください。
役割の名前とデスクリプションを入力し、 CONTINUEをクリックします。

役割の管理者権限Select 。

Netskopeは、以下の権限を削除することを推奨しません。削除すると、API呼び出しやポリシー処理が失敗する可能性があります。

Netskopeが必要とする権限の一覧は以下のとおりです。

Privileges	必要
サービス > ドライブとドキュメント > 設定 (全5つの権限)	この権限は、ラベル情報を掲載するために必要です。
レポート	投票方法を変更するには、この権限が必要です。
ドメイン管理	この権限は、Googleワークスペースにドメインを登録するために必要です。Netskope ドメインリストを使用して、ユーザーが内部ユーザーか外部ユーザーかを判断します。
グループ > 読む	グループ情報を取得するには、この権限が必要です。
ユーザー > 読む	ユーザー情報を取得するには、この権限が必要です。

Netskope今はGoogleラベルバッジをサポートしています。予定がある場合は Google ラベルバッジも、以下の権限を有効にしてください。

Privileges	必要
サービス > データ分類 > ラベルの管理	この権限は、ラベル情報を掲載するために必要です。

CONTINUEをクリックしてから、 CREATE ROLEをクリックしてください。

カスタムロールを作成したら、そのロールをユーザーに割り当てることができます。ユーザーに役割を割り当てるには、 Directory > Usersに移動し、ユーザーアカウントをクリックし、 Admin roles and privilegesに移動して、上記で作成した役割を割り当てます。ユーザーはその後、NetskopeがGoogleドライブインスタンスへのアクセスを許可することを承認できます。

ユーザーは有効なGoogle Workspaceライセンスを所有している必要があることに注意してください。

Netskopeサービスアカウントにスコープを付与する

このセクションでは、Googleドライブ内のデータにアクセスできるようにするために、 NetskopeウェブアプリケーションとAPIクライアントをGoogleに登録するために必要な手順について説明します。

サービスアカウントを承認しても、組織のデータへの無制限のアクセス権が付与されるわけではありません。これは個々のユーザーに代わってのみ動作し、それらのユーザー
アクセスを許可されているデータのみにアクセスまたは変更できます。サービスアカウントには有効なGoogle Workspaceライセンスが必要であることに注意してください。

スーパー管理者としてadmin.google.comにログインしてください。
Security > Access and data control > API controlsへ移動してください。
API controlsページのDomain wide delegationの下にあるManage Domain Wide Delegationをクリックします。
Add newをクリックしてください。

新しいポップアップウィンドウが開きます。
Client IDの場合は、 108196482611215472250を入力してください。

米国FedRAMPアカウントを接続する場合は、クライアントIDとして116886296238535387112を入力してください。
カナダ連邦政府のPBMMアカウントを接続する場合は、クライアントIDとして101681285188021910893を入力してください。
OAuth scopesに対して、以下のスコープを入力してください。

1行に1つのスコープを入力してください。
- https://www.googleapis.com/auth/userinfo.email
- https://www.googleapis.com/auth/userinfo.profile
- https://www.googleapis.com/auth/admin.reports.audit.readonly
- https://www.googleapis.com/auth/admin.directory.user.readonly
- https://www.googleapis.com/auth/admin.directory.domain.readonly
- https://www.googleapis.com/auth/admin.directory.group.readonly
- https://www.googleapis.com/auth/admin.directory.group.member.readonly
- https://www.googleapis.com/auth/drive
  
  Netskope今はGoogleラベルバッジ（読む＆書く）をサポートしています。追加のスコープを付与する必要があります。彼らです：
  
  Googleラベルバッジを適用する前に、まずGoogleドライブのDRMインスタンスを設定する必要があります。詳細については、デジタル著作権管理をご覧ください。
  この機能は、高度なDLPソリューションの一部です。テナントでこの機能を有効にするには、Netskopeの営業担当者にご相談ください。
  - https://www.googleapis.com/auth/drive.labels
  - https://www.googleapis.com/auth/drive.admin.labels
  - https://www.googleapis.com/auth/drive.admin.labels.readonly
  - https://www.googleapis.com/auth/drive.metadata
Authorizeをクリックしてください。
上記の手順が正しく行われたことを確認するには、 Netskope for Googleアプリが API クライアントのリストに表示されるかどうかを確認してください。

Netskope UIでGoogleドライブインスタンスを設定する

NetskopeがGoogleドライブインスタンスにアクセスすることを承認するには、以下の手順に従ってください。

NetskopeテナントUIにログインしてSettings > Configure App Access > Next Gen > CASB APIに移動します。
Appsの下でGoogle Driveを選択し、 Setup CASB API Instanceをクリックします。

Setup Instanceウィンドウが開きます。
API Admin Emailの下に、スーパー管理者またはカスタムロールを持つユーザーの Google アカウントを入力します。 Netskopeのカスタムロールの作成と割り当てを参照してください。
Administrator Emailの下に、ポリシー違反またはイベントがトリガーされたときに電子メール通知を受け取るユーザーの電子メールアドレスを入力します。この手順は任意です。
(任意) Enable Data Classification Labelsの中、このインスタンスのために Google ラベルバッジを読むを許可するチェックボックスを選択してください。

このチェックボックスを有効にする前に、前提条件、権限、およびOAuthスコープがすべて満たされていることを確認してください。アクセス権限の付与が完了していない場合、アクセス権限の付与が失敗する可能性があります。
インスタンス作成後でもこの設定を変更できます。この設定を変更するには、Googleに再度ログインしてインスタンスを再認証する必要があります。
このオプションを再度有効にする前に、必要なGoogleの前提条件をすべて満たしていることを確認してください。そうでない場合、再認証は失敗し、インスタンスは以前の設定を保持します。
Instance Nameの下に、SaaSアプリインスタンスの名前を入力してください。この手順は任意であり、空白のままにした場合、Netskopeは権限付与後にアプリインスタンスの名前を決定します。
Grant Accessをクリックしてください。ログインを求められますスーパー管理者、またはカスタムロールとパスワードを持つユーザーとしてログインし、 Sign Inをクリックします。設定結果ページが開いたら、 Closeをクリックします。

ブラウザを更新すると、インスタンス名の横に緑色のチェックマークが表示されます。

次に、「Next Generation API データ保護 Inventory ページを見て、Google Driveアカウント上のさまざまなエンティティについて深い洞察を得ることができます。 Inventoryページの詳細については、「次世代APIデータ保護インベントリ」をご覧ください。

Skope ITでは、監査イベントや標準的なユーザー行動分析アラートを受信できます。詳細については、次世代 API データ保護スコープ IT イベントをご覧ください。

次に、次世代 API データ保護ポリシーを構成する必要があります。これを行うには、「次世代 API データ保護ポリシーウィザード」を参照してください。