API データ保護のための Salesforce の設定

API データ保護用に Salesforce を設定するには、Salesforce インスタンスにアクセスするための Web アプリケーション クライアントとしてNetskope承認する必要があります。

この手順は4つの部分から構成されています。

• Salesforce APIアクセスの設定

• ユーザーのプライベートファイルの一覧表示を有効にする

• （オプション）Netskope監査レポートおよび法的保留先アプリをインストールする

• Netskope Access for Salesforce の設定

Salesforce APIアクセスの設定

NetskopeウェブアプリケーションクライアントとしてSalesforceインスタンスへのアクセスを許可するには、Salesforceポータルでカスタムプロファイルを作成する必要があります。

1. login.salesforce.comにログインしてください。

2. 右上のSetup > Setupをクリックします。

3. 左側のナビゲーションバーで、 Administration > Users > Profilesに移動します。

   

4. ユーザープロファイルを複製します。システム管理者、標準ユーザー、-only、またはその他のプロファイルをクローンできます。 ユーザープロファイルに有効な「Salesforce」ライセンスが付与されていることを確認してください。この例では、 「カスタム: サポート プロファイル」の横にあるCloneをクリックします。

   マルウェア隔離機能を使用する場合は、必ずシステム管理者プロファイルを複製してください。

   

5. Clone Profileページで、プロファイル名を入力し、ユーザーライセンスにSalesforceが表示されていることを確認してください。完了したら、 Saveをクリックしてください。

   

6. カスタムプロファイルを作成したら、 Editをクリックしてカスタムプロファイルを変更します。

7. カスタムプロファイルのAdministrative Permissionsセクションまでスクロールしてください。以下の権限を有効にしてください。

   プロファイルに直接権限を割り当てる必要があります。権限セットを通して権限を追加しないでください。

   管理者権限と一般ユーザー権限	デスクリプション	なぜこれが必要なのですか？	Netskope対応機能
   			Read only	Edit/ Enforce Policy	Audit Logs
   API Enabled	Salesforce.comのあらゆるAPIにアクセスできます。	これは、API呼び出しを行うための基本的な権限です。Netskope APIデータ保護はSalesforceに接続できます。 この機能は、Unlimited、Enterprise、およびDeveloper Editionではデフォルトで有効になっています。 注記 Professional Edition の場合、API アクセスを有効にするために Salesforce サポートに問い合わせる必要がある場合があります。	はい	はい	はい
   Chatterメッセージとダイレクトメッセージを管理する	ユーザーがChatterで送信したすべてのメッセージにアクセスできるようにします。	Chatter会話でAPIデータ保護を有効にするには。	はい	はい	–
   非公開グループの管理	ユーザーが非公開のChatterグループを閲覧および管理できるようにします。リストビュー、フィード、検索結果で非公開グループにアクセスできるのは、「非公開グループの管理」権限を持つメンバーとユーザーのみです。	非公開グループに投稿されたフィードとチャットファイルを調査する。	はい	はい	–
   暗号化キーの管理	SalesforceのBYOK（Bring Your Own Key）機能により、以下のことが可能になります。	セキュリティ強化のため、独自のテナントシークレットを生成して提供し、暗号化キーを導出できるようにします。 注記 この権限は、 Salesforce BYOK 機能を使用する場合にのみ必要です。	–	–	–
   すべてのデータを表示	組織内のすべてのデータを閲覧できるようにします。ユーザーは組織全体のデフォルト設定に従っています。	Netskopeでデータを確認する必要のあるファイルに対してDLPを実行する。	はい	はい	はい
   すべてのユーザーを表示	共有設定の構成に関係なく、すべてのユーザーのオブジェクトを表示できるようにします。	組織内のユーザーリストを特定するため。	はい	はい	はい
   アンインストール済みの接続済みアプリを承認する	接続されたアプリをインストールするためのユーザー権限を付与する。	Netskope Introspection for Salesforceアプリへのアクセスを許可してください。 OAuthプロセス中にこの権限が利用できない場合、OAuthエラーが発生し、Netskope統合が進行できません。	はい	はい	はい

   完了したら、 Saveをクリックしてください。

8. 左側のナビゲーションバーで、 Administration > Users > Usersに移動します。

   

9. 既存のユーザーを変更するにはEditをクリックし、新しいユーザーを定義するにはNew Userをクリックしてください。

10. User Edit > General Informationセクションで、手順 4 で作成したプロファイルを設定します。

    

11. User Edit > General Informationセクションで、 Salesforce CRM Content Userを有効にします。これにより、ユーザーはCRMコンテンツファイルを表示できるようになり、Salesforce CRMコンテンツファイルまたはライブラリファイルを一覧表示したり、それらに対して操作を実行したりするために必要となります。

    

12. 完了したら、 Saveをクリックしてください。

Netskopeは、Salesforce内でNetskopeのパブリックIPアドレスのプールを許可することを推奨しています。これにより、SalesforceとAPIデータ保護の間で、イベントと通知が制限なく交換されることが保証されます。 IPアドレスを許可するには：

1. login.salesforce.comにログインしてください。

2. 右上のSetup > Setupをクリックします。

3. 左側のナビゲーションバーで、 Settings > Security > Network Accessに移動します。

4. 「信頼できるIPアドレス範囲」の横にあるNewクリックしてください。

5. Trusted IP Range Editページで、 Start IP AddressとEnd IP Addressを指定します。

   NetskopeのパブリックIPアドレスのプールを取得するには、Netskopeテナントにログインし、 Settings > Security Cloud Platform > REVERSE PROXY > Office 365 Authに移動します。下にスクロールしてNetskope Source IP Address/Rangeセクションをご覧ください。

6. Saveをクリックしてください。

ユーザーのプライベートファイルの一覧表示を有効にする

Salesforceでは、デフォルトではユーザーファイルは非公開になっています。NetskopeはSalesforce APIの制限により、プライベートファイルの内容を把握することができません。このようなファイルへのアクセス権限が必要な場合は、Salesforce管理者がユーザーのプライベートファイルを照会するための権限セットを作成し、その権限セットをNetskopeインスタンスの権限付与ユーザーに割り当てることができます。

権限セットを作成するには：

1. login.salesforce.comに管理者としてログインしてください。

2. ホームページで、 ADMINISTRATION > Users > Permission Setsに移動します。

3. Permission SetsページでNewをクリックします。

   Createフォームが開きます。

4. In Label, enter Query_All_Files.

5. Descriptionに「この権限セットを有効にする」と入力して、「すべてのデータを表示」ユーザーがファイルのクエリに関する制限を回避できるようにします。

6. From the License drop-down list, select Salesforce.

7. Saveをクリックしてください。

   Query_All_Files権限セットの概要ページに移動します。

8. Appsの下で、 App Permissionsをクリックしてください。

9. App Permissionsラベルの横にあるEditをクリックします。

10. App Permissions > Contentの下で、 Query All Filesチェックボックスを選択してください。

    

11. Saveをクリックして、権限の変更を確認してください。

12. Manage Assignmentsをクリックしてください。

13. Add Assignmentsをクリックしてください。

14. All Usersリストから Netskope へのアクセスを許可するユーザーを選択し、 AssignとDoneをクリックします。

(オプション) Netskope Audit レポートおよび訴訟ホールド宛先アプリをインストールする

Netskopeは、Salesforceアカウントにおける監査レポートおよび法的保留先への対応をサポートします。計画している場合 いずれか一方または両方の機能を利用する場合は、Salesforce AppExchangeポータルからこれらのアプリを入手できます。

監査レポートアプリは2種類あります。お使いのSalesforceのエディションに応じて、バージョン1.0または2.0のいずれかをインストールできます。

• 監査レポート v1.0: https://login.salesforce.com/packaging/installPackage.apexp?p0=04t28000000XUIk

• 監査レポート v2.0: https://login.salesforce.com/packaging/installPackage.apexp?p0=04t0K000001VLOf&isdtp=p1

• 法的保留先: https://login.salesforce.com/packaging/installPackage.apexp?p0=04t28000000VfUV

アプリを Salesforce サンドボックス環境 (test.salesforce.com) にインストールする場合は、次のリンクを使用できます。

• 監査レポート v1.0: https://test.salesforce.com/packaging/installPackage.apexp?p0=04t28000000XUIk

• 監査レポート v2.0: https://test.salesforce.com/packaging/installPackage.apexp?p0=04t0K000001VLOf&isdtp=p1

• 法的保留先: https://test.salesforce.com/packaging/installPackage.apexp?p0=04t28000000VfUV

Netskope監査レポートアプリをインストールしてください

監査レポート v2.0 をインストールする場合は、 Netskopeサポートする 5 つのオブジェクト タイプに対して変更データ キャプチャを有効にする必要があります。 そのためには、以下の手順に従ってください。

1. login.salesforce.comに管理者としてログインしてください。

2. 左側のナビゲーションバーで、 PLATFORM TOOLS > Integrations > Change Data Captureに移動します。

3. 以下のエンティティをAvailable EntitiesからSelected Entitiesに移動してください。

   • アカウント（アカウント）

   • Case (Case)

   • コンタクト (コンタクト)

   • リード（リード）

   • チャンス（チャンス）

     

4. Saveをクリックしてください。

Netskope Audit レポート アプリをインストールするには、次の手順に従います。

1. 適切なリンクにアクセスして、 Netskope Audit レポート アプリをインストールします。

   • 監査レポート v1.0: https://login.salesforce.com/packaging/installPackage.apexp?p0=04t28000000XUIk

   • 監査レポート v2.0: https://login.salesforce.com/packaging/installPackage.apexp?p0=04t0K000001VLOf&isdtp=p1

2. login.salesforce.comに管理者としてログインしてください。

3. Install Packageページでは、パッケージの詳細と、アプリをインストールするユーザー層を選択するオプションが表示されます。以下の選択肢からいずれか1つをSelect 。

   • 管理者専用にインストール – Salesforce管理者ユーザーのみにパッケージをインストールします。Netskopeは管理者ユーザーのみのトリガー/イベントを取得します。

     

   • 全ユーザー向けにインストール – パッケージを全ユーザーにインストールします。Netskopeは、すべてのユーザーのトリガー/イベントを取得します。

     

     このインストールタイプは、Salesforce の以下のユーザー/プロファイルには適用されません: カスタマーポータルユーザー、カスタマーポータルマネージャー、ハイボリュームカスタマーポータル、認証済みWebサイト、パートナーユーザー、および標準プロファイル。

   • 特定のプロファイルへのインストール – 特定のプロファイルのユーザー向けにパッケージをインストールします。Netskopeは、特定のプロファイルに属するユーザーに関するトリガー/イベントを取得します。

     

     ページのSelect Specific Profilesセクションで、 Salesforce APIアクセス設定で作成したカスタムプロファイルまでスクロールダウンし、このプロファイルのアクセスレベルとしてFull Accessを割り当てます。下の図において、 Introspection_Adminは作成されたカスタムプロファイルです。

     

     デフォルトでは、アプリパッケージをインストールするSystem AdministratorのアクセスレベルはFull Accessに設定されます。

4. 確認チェックボックスをSelectし、Installをクリックします。

5. インストールが完了したら、 Doneをクリックしてください。

   インストールが正常に完了すると、必要なApexトリガーとカスタムオブジェクトであるNetskope Audit Logが作成されます。

Netskope Audit アプリをインストールした後、Salesforce ホームページのHomeタブでAdministration > Users > Profilesに移動し、 [Salesforce API アクセスの設定]で作成したカスタム プロファイルをクリックします。 カスタムプロファイルの詳細ページで、 Editをクリックし、 Custom Object Permissionsセクションまでスクロールして、Netskope監査ログに必要なすべての権限が付与されていることを確認します。そうでない場合は、Netskope監査ログのすべてのチェックボックスを有効にしてください。

Netskope 監査イベントをキャプチャするためのトリガーを使います。 これらのイベントはNetskopeテナントにログインし、 Skope IT > Application Eventsへナビゲートすることで確認できます。監査イベントに関する詳細については、 「Salesforce 監査イベント」を参照してください。

監査レポート v1.0 から v2.0 へのアップグレード

すでに監査レポート v1.0 をインストールしている既存のお客様は、監査レポート v2.0 にアップグレードできます。 ただし、アップグレードできるのは、Salesforceのエンタープライズ版または無制限版をご利用の場合のみです。アップグレードの手順の概要は以下のとおりです。

1. Netskopeがサポートする5種類のオブジェクトタイプについて、Salesforceアカウントで変更データキャプチャを有効にしてください。前の手順に従ってください。

2. https://login.salesforce.com/packaging/installPackage.apexp?p0=04t0K000001VLOf&isdtp=p1から監査レポート v2.0 アプリケーションにアクセスします。

3. アップグレードを求められたら、アプリをインストールするユーザーベースを選択し、承認チェックボックスを選択してから、 Upgradeをクリックします。

   

Netskope Legal Hold Destinationsアプリをインストールしてください

Netskope Legal Hold Destinationsアプリをインストールするには、https://login.salesforce.com/packaging/installPackage.apexp?p0=04t28000000VfUV のリンクにアクセスし、Install Netskope Auditレポートアプリの手順2〜5に従ってください。

アプリパッケージのインストール後、2つのカスタムオブジェクトと2つのタブが作成されます。カスタムプロファイルまたはシステム管理者プロファイルが割り当てられたユーザーは、これらのオブジェクトとタブにアクセスできます。これらのタブは、Salesforceのホームページにあるアプリランチャーからアクセスできます。

アプリランチャーのホーム画面で、 Platform Tools > Objects and Fields > Object Managerに移動して、法定保留の宛先として設定されているカスタムオブジェクトを表示します。 法的保留の宛先として。

法的保留先を定義する

Salesforceには、法的保留先が3つあります。 Salesforceには、 彼らです：

• Netskope 法務保留メッセージ: これは、Chatter 会話内に存在する Chatter メッセージの法務保留コピーを保存するためのカスタムオブジェクトです。このオブジェクトと関連フィールドは、Salesforce AppExchangeポータルからNetskope Legal Holdアプリをインストールすると自動的に作成されます。

• Netskope法的ホールド構造データ: これは、Chatter 投稿の法的ホールドのコピーとアカウント、コンタクト、リードなどの構造化データ、および Chatter 会話の法的ホールド メッセージのマッピング レコードを保存するカスタム オブジェクトです。 このオブジェクトと関連フィールドは、Salesforce AppExchangeポータルからNetskope Legal Holdアプリをインストールすると自動的に作成されます。

• Netskope Legal Hold Group: Salesforceのファイル、ドキュメント、添付ファイルを法的に保持するには、専用の保存先が必要です。Netskopeこの目的のために、 Netskope Legal Hold GroupというChatterグループがあります。 このChatterグループから、法的に保管されているファイル、文書、添付ファイルの一覧表示とアクセスが可能になります。Chatterグループを作成するには、以下の手順に従ってください。

  1. login.salesforce.comにログインしてください。

  2. App Launcher > View Allに移動してSalesforce Chatterをクリックし、 Chatterタブをクリックします。

  3. 左側のナビゲーションで、 +アイコン（最近使用したグループの一部）をクリックして、新しいChatterグループを作成します。

     

  4. New Groupウィンドウに、グループ名としてNetskope Legal Hold Groupと入力します。

  5. Disable automatic archivingチェックボックスSelect 。 これにより、グループの活動が維持されることが保証されます。

  6. *Access TypeドロップダウンリストでPrivateを選択します。これにより、メンバーのみが更新情報を閲覧できるようになります。会員登録には承認が必要です。

     

  7. Save & Next > Next > Doneをクリックして、Chatterグループの作成設定を完了してください。

Netskope Access for Salesforce の設定

APIコネクタを設定するには、 Netskopeウェブアプリケーションクライアントとして承認し、Salesforceインスタンスへのアクセスを許可する必要があります。

NetskopeがSalesforceインスタンスにアクセスすることを承認するには：

1. NetskopeテナントUIにログインしてSettings > Configure App Access > Classic > SaaSに移動します。

2. SalesforceアイコンSelect 、次にSetup Instanceをクリックします。

3. Setup Instanceウィンドウが開きます。以下の詳細を入力してください。

   • INSTANCE NAMEフィールドに、Salesforceアカウントの組織名またはIDを入力してください。salesforce.comで組織名またはIDを検索するには、salesforce.comアカウントにログインしてください。Setup > Setting > Company Settings > Company Informationに移動して、 Organization NameまたはSalesforce.com Organization IDをメモしてください。

     • Netskopeテナントでは、単一の組織名の下で、本番環境インスタンスとサンドボックス環境インスタンスをそれぞれ1つずつしか作成できません。
     • 同じ組織名で複数のSalesforceインスタンスを設定するには、 Netskope 、 Netskopeテナントのインスタンス名としてSalesforceインスタンスの組織IDを使用することを推奨します。

   • INSTANCE TYPE欄で、以下のオプションから適切な機能を選択してください。

     • APIデータ保護：このオプションSelectと、 Netskope SaaSアプリインスタンスをスキャンして、ファイル、ユーザー、その他のエンタープライズデータを一覧表示できるようになります。

     • Salesforce で訴訟ホールド機能を使用するには、 Legalholdチェックボックスをオンにします。 「（オプション） Netskope AuditとLegal Hold Destinationsアプリのインストール」の説明に従って、Salesforce AppExchangeポータルからLegal Holdアプリがインストールされていることを確認してください。 有効化が成功すると、ファイルやチャットメッセージを法的保留状態にするポリシーを作成できます。

     • マルウェア: ファイル、電子メール、添付ファイル、チャット メッセージ、投稿などからマルウェアを検出するには、このオプションSelect 。 マルウェアのセットアップの詳細については、 「 API データ保護のための脅威保護ポリシーの作成 」を参照してください。

     • Salesforceで監査レポートを取得するには、 Auditreportsチェックボックスを有効にしてください。「(オプション) Netskope監査レポートおよび訴訟ホールド宛先アプリのインストール」の説明に従って、監査レポート アプリが Salesforce AppExchange ポータルからインストールされていることを確認してください。

     • Salesforce の「自分のキーを持ち込む」機能を使用するには、 Byokチェックボックスを有効にします。 そうすることで、APIデータ保護ダッシュボードにSalesforceキー管理ページが作成され、必要なシークレットテナントと証明書を設定できるようになります。 API データ保護ダッシュボードの「 Salesforce キー管理」を参照してください。

       Salesforce Key Management は、顧客が Salesforce の Bring Your Own Key (BYOK) 機能を使用して、保存されている Salesforce データを暗号化できるようにする機能です。 Netskopeは現在、Netskopeコンソールからこれらのキーをローテーション/管理できるオプションを顧客に提供しています。この機能は現在非推奨となっており、 Netskope商用版または連邦政府向けのNetskope DC ではこの機能をサポートしません。
       この機能の廃止は、Netskope から暗号化キーをローテーション/管理できなくなることを意味するだけであることに注意してください。Netskopeの API Data Protection for Salesforce に影響を与えることなく、Salesforce 内で BYOK 機能を引き続き使用できます。
       注意事項は以下のとおりです。

       • 新しい Salesforce アプリケーション インスタンスの場合、UI には BYOK チェックボックスがありません。 新しいインスタンスでは BYOK を有効にすることはできません。
       • BYOKを有効にしていない既存のSalesforceアプリインスタンスでは、今後BYOKを有効にすることはできません。
       • BYOK を使用している既存の Salesforce アプリケーション インスタンスは、BYOK を無効にすることができます。 ただし、一度無効にすると、再度有効にすることはできません。
       • BYOKを有効にしていないテナントでは、Salesforce API対応の保護ダッシュボードにあるSalesforce Key Managementページは利用できません。
       • BYOKを有効にしている既存のSalesforceアプリインスタンスでは、この機能は引き続き正常に動作します。

     • セキュリティ態勢：このオプションSelectと、 Netskope SaaSアプリを継続的にスキャンし、リスクの高いSaaSアプリの設定ミスを特定して修正し、セキュリティ態勢をベストプラクティスおよびコンプライアンス基準に適合させることができます。

       この機能はNetskope SaaSセキュリティポスチャー管理ソリューションの一部です。追加の設定要件については、読む SaaS Security Posture Managementをご覧ください。

   • API データ保護に必要な Salesforce アカウントのタイプSelect 。プロダクション、またはサンドボックス。

     developer.salesforce.comで作成された開発者エディションインスタンスを接続する場合は、本番アカウントタイプSelect 。 サンドボックス アカウント タイプは、本番組織のコピーであるサンドボックス組織のみを対象としており、開発者エディション ライセンスを持つ Salesforce 組織とは異なります。

   • APIデータ保護へのアクセスを許可するSalesforceユーザーのユーザー名を入力してください。 ユーザー名は、Salesforce で 「ユーザーのプライベート ファイルの一覧表示を有効にする」の 手順 14 に従って 「すべてのファイルを照会する」 権限が設定されているユーザーと同じである必要があります。

     APIデータ保護は、アクセスを許可するためのAPIトークンが 期限切れになった場合、インスタンス管理者に通知を送信できます。 Netskope 、管理者がアクセス権を再付与するまで、24 時間ごとにインスタンス管理者に電子メール通知を送信します (インスタンス設定ページ > 管理者の電子メール フィールド)。 管理者の電子メール アドレスが実際のユーザーであることを確認してください。
     Salesforce では、管理者の電子メールは Salesforce 電子メール ID です。 Salesforce では、このような電子メールアドレスへの受信電子メールを処理するには、電子メールサービスを設定する必要があります。 電子メールサービスが設定されていない場合、電子メールの配信は失敗します。 Salesforce で電子メール サービスが管理者電子メール用に設定されていることを確認します。 詳細については、電子メール サービスをご覧ください。

4. Saveをクリックし、次にGrant Accessをクリックして、先ほど作成したアプリインスタンスを開きます。管理者ユーザー名とパスワードでログインし、権限を承認してから、 Grantをクリックしてください。設定結果ページが開いたら、 Closeをクリックします。

   APIデータ保護機能は、Salesforce Chatterの投稿を監視できます。 Chatter投稿はSalesforceの機能の一つで、プライベートまたはパブリックのChatterグループにメッセージを投稿できます。API データ保護が Chatter 投稿を監視できるようにするには、 Netskopeサポートに問い合わせてください。 APIデータ保護がChatterの投稿を監視するようになると、SalesforceはAPIデータ保護に複数の通知を送信する可能性があることに注意してください。 そして、これはAPI呼び出し回数の増加につながる可能性があります。

ブラウザを更新すると、インスタンス名の横に緑色のチェックマークが表示されます。

ログインIP範囲が原因で許可が失敗しました

Salesforceのユーザー名にSalesforce内でログインIP範囲が設定されている場合、アクセス許可が失敗する可能性があります。Salesforceアカウントにログインし、ユーザー名に関連付けられたユーザープロファイルにログインIP範囲が設定されているかどうかを確認してください。設定されている場合、以下の手順に従ってください。以下の手順に従うことで、助成金が確実に交付されます。

1. login.salesforce.comにログインしてください。

2. 右上のSetup > Setupをクリックします。

3. 左側のナビゲーションペインで、 PLATFORM TOOLS > Apps > Connected Apps > Connected Apps OAuth Usageに移動します。

4. Netskope Introspection for Salesforceアプリの横にあるInstallをクリックしてください。

   

   新しいウィンドウが開きます。Installをクリックしてください。

5. Netskope Introspection for Salesforce Connectedアプリのページで、 Edit Policiesをクリックします。

6. OAuth Policiesの下で、 IP RelaxationをRelax IP restrictionsに設定します。

   

7. Saveをクリックしてください。

8. Netskopeテナントに再度ログインし、Salesforceアプリへのアクセス権を付与してください。

   助成金は無事承認されるはずだ。

9. （オプション）許可が成功した後、 IP Relaxation Enforce IP restrictionsにロールバックできます。

NetskopeはDLP対策のためにどのファイルを検査しますか？

SalesforceとNetskopeのAPI連携により、アカウント内の他のユーザーがアップロードしてアクセスできるファイルを検査できます。Netskopeを使う API と、 Netskope UI で設定されたポリシーに従って機密コンテンツのファイルをスキャンするために Salesforce によって指定された権限。 ポリシーは、ファイルが DLP プロファイルに一致する場合、ポリシーの定義に基づいて、アラートまたは訴訟ホールド アクションを実行できます。

ただし、Salesforce APIの仕組みや、API呼び出しを通じてNetskopeに返される情報によっては、いくつかの制限があります。詳細については、以下の表を参照してください。

（オプション）Salesforceアプリインスタンスを削除します

Netskope UI から Salesforce アプリ インスタンスを削除する場合は、必ずNetskope Audit と Legal Hold Destinations アプリを Salesforce アカウントからアンインストールしてください。 そのためには、Salesforceアカウントにログインしてください。セットアップのホーム画面で、 PLATFORM TOOLS > Apps > Packaging >Installed Packagesに移動します。Actionの下で、 Uninstallをクリックしてください。