次世代API向けにSalesforceを構成データ保護

Salesforceを次世代APIデータ保護用に設定するには、 Netskopeウェブアプリケーションクライアントとして承認し、Salesforceインスタンスへのアクセスを許可する必要があります。

この手順には3つの段階があり、順番通りに実行する必要があります。

Salesforceユーザー向けにSalesforce APIアクセスを設定する
Netskope UIでSalesforceインスタンスを設定する
Netskope CASB API Salesforce OAuth ポリシーの設定

前提条件

Salesforceを次世代APIデータ保護用に設定する前に、前提条件を確認してください。

使う SalesforceエディションをAPIアクセスで行っていることを確認してください:

企業
Unlimited
Performance

Salesforceユーザー向けにSalesforce APIアクセスを設定する

以下の手順はSalesforce Lightningモードで検証済みであり、Classicモードには適用されない場合があります。Netskope APIデータ保護を実行するために、Lightningモードは必須ではありません。設定できますクラシックモードも設定可能です。 Lightning Experience UI に切り替えるには、 login.salesforce.comにログインし、ホームページの右上にあるUser menuドロップダウンリストをクリックしてSwitch to Lightning Experienceを選択します。

Netskope次世代API権限セットを作成する

Salesforceシステム管理者アカウントを使用して、 login.salesforce.com にログインしてください。
右上のSetup > Setupをクリックします。
左側のナビゲーションバーで、 ADMINISTRATION > Users > Permission Setsに移動します。
Newクリックして、 Label Netskope Next-Gen APIとして入力してください。API Name は自動的に入力されます。次に、 Licenseの下でSalesforceを選択します。Saveをクリックしてください。
System セクションまでスクロールダウンして、 System Permissionsをクリックしてください。

Editをクリックして、以下の権限を有効にしてください。

システム権限	デスクリプション	Netskope使うケース
API Enabled	Salesforce.comのあらゆるAPIにアクセスできます。	Netskope Salesforceデータにアクセスできるようにするための、API呼び出しを行うための基本的な権限。
Chatterメッセージとダイレクトメッセージを管理する	Chatterで送信されたすべてのユーザーのメッセージへのアクセスを許可します。	継続的または遡及的なスキャンを行うために、Salesforce Chatterメッセージへのアクセスを許可します。
非公開グループの管理	ユーザーが非公開のChatterグループを閲覧および管理できるようにします。「非公開グループの管理」権限を持つユーザーのみが、メンバーシップなしで非公開グループとそのファイルおよびフィードコンテンツにアクセスしたり変更したりできます。	継続的または遡及的なスキャンを行うために、非公開グループに投稿されたChatterフィードおよびファイルへのアクセスを許可します。
すべてのデータを表示	ユーザーが組織内のすべてのデータを閲覧できるようにする。	継続的または遡及的なスキャンを実行するために、Salesforceオブジェクトへのアクセスを許可します。
すべてのデータを変更する	ユーザーが組織内のすべてのデータを変更できるようにする。	ファイル隔離の修復、または将来的にサポートされるその他の修復措置を許可する。
すべてのユーザーを表示	共有設定の構成に関係なく、ユーザーが組織内のすべてのユーザーを表示できるようにします。	組織内のすべてのユーザーを一覧表示するアクセス権限を許可します。
アンインストール済みの接続済みアプリを承認する	接続されたアプリをインストールするためのユーザー権限を付与する。	Netskope CASB API Salesforceアプリへのアクセスを許可します。 OAuthプロセス中にこの権限が利用できない場合、 OAuth Errorが表示され、Netskopeとの連携が続行されません。

完了したら、ページの一番上までスクロールしてクリックしてください。 Save.

特定の権限を選択すると、追加の権限が自動的に選択される場合があります。この挙動は想定内です。

ポップアップ確認ウィンドウでSaveをクリックしてください。
System PermissionsドロップダウンをクリックしてApp Permissionsを選択します。

Editをクリックして、以下の権限を有効にしてください。

アプリの権限	デスクリプション	Netskope使うケース
すべてのファイルを照会する	With the Query All Files permission, View All Data users can query ContentDocument and ContentVersion and retrieve all files in the organization, including files in non-member libraries and files in unlisted groups.	継続的または遡及的なスキャンを実行するために、非公開となっているすべてのSalesforceファイル（デフォルトでは、Salesforceのユーザーファイルは非公開です）へのアクセスを許可します。

完了したら、ページの一番上までスクロールしてクリックしてください。 Save.

ポップアップ確認ウィンドウでSaveをクリックしてください。

ユーザーを作成し、Netskope次世代APIの権限セットを割り当てます。
1. Salesforceシステム管理者アカウントを使用して、 login.salesforce.com にログインしてください。
2. 右上のSetup > Setupをクリックします。
3. 左側のナビゲーションバーで、 ADMINISTRATION > Users > Usersに移動します。
4. New Userをクリックして、Netskope専用の新しいユーザーを作成してください。
  
  既存のユーザーを変更するには、 Editをクリックすることもできますが、既存のユーザーが無効化または削除された場合、Netskopeとの連携が壊れる可能性があることに注意してください。
5. User Edit > General Informationセクションでは、 User LicenseがSalesforceに、 ProfileがMinimum Access – Salesforceに設定されていることを確認してください。
6. User Edit > General Informationセクションで、 Salesforce CRM Content Userを有効にします。これにより、ユーザーはCRMコンテンツファイルを表示できるようになり、Salesforce CRMコンテンツファイルまたはライブラリファイルを一覧表示したり、それらに対して操作を実行したりするために必要となります。
  
  完了したら、 Saveをクリックしてください。
7. 左側のナビゲーションバーで、 ADMINISTRATION > Users > Permission Setsに移動します。次に、以前に作成したNetskope Next-Gen APIをクリックします。
8. Manage Assignmentsをクリックしてください。
9. 右上のAdd Assignmentをクリックし、前の手順で作成したユーザーを選択します。次にNextをクリックします。
10. No expiration date Select 、右下のAssign をクリックしてください。
11. 権限の割り当てを完了するには、右下のDone をクリックしてください。

Netskope UIでSalesforceインスタンスを設定する

NetskopeがSalesforceアカウントにアクセスすることを承認するには、以下の手順に従ってください。

NetskopeテナントUIにログインしてSettings > Configure App Access > Next Gen > CASB APIに移動します。
Appsの下でSalesforceを選択し、 Setup CASB API Instanceをクリックします。

Setup Instanceウィンドウが開きます。
Administrator Emailの下に、ポリシー違反またはイベントがトリガーされたときに電子メール通知を受け取るユーザーの電子メールアドレスを入力します。この手順は任意です。
Site Domainの下に、Salesforce アカウントの完全修飾ドメイン名を入力してください (例:example.my.salesforce.com )
Instance Nameの下に、SaaSアプリインスタンスの名前を入力してください。この手順は任意であり、空白のままにした場合、Netskopeは権限付与後にアプリインスタンスの名前を決定します。
Grant Accessをクリックしてください。

Salesforceのサインインページにリダイレクトされます。
ログイン前の「SalesforceユーザーのSalesforce APIアクセス設定」セクションで設定したSalesforceユーザーアカウント.
Salesforceのポップアップウィンドウで、 Allowをクリックします。

NetskopeはOAuthのフルアクセス権限を要求するため、権限リストにはすべてのスコープが含まれます。ただし、Netskopeが実際にアクセスできるデータは、管理者権限によって制限されます。
設定結果ページが開いたら、 Closeをクリックします。

ブラウザを更新すると、インスタンス名の横に緑色のチェックマークが表示されます。

Netskope CASB API Salesforce OAuth ポリシーの設定

アクセス権限の付与が成功したら、Salesforce管理者はOAuthを次のように設定する必要があります。 Netskopeとの連携が期待どおりに機能するようにするためです。

Salesforceシステム管理者アカウントを使用して、 login.salesforce.com にログインしてください。
右上のSetup > Setupをクリックします。
左側のナビゲーションペインで、 PLATFORM TOOLS > Apps > Connected Apps > Connected Apps OAuth Usageに移動します。
Netskope CASB API Salesforceアプリの横にあるInstallをクリックしてください。

新しいウィンドウが開きます。Installをクリックしてください。
Netskope CASB API Salesforce Connectedアプリのページで、 Edit Policiesをクリックします。
OAuth Policiesの下で、以下を設定します。
- IP Relaxation Relax IP restrictionsへ。
- Refresh Token Policy to Expire refresh token if not used for 30 Day(s).
  
  Next Generation API データ保護使う定期的にリフレッシュトークンを使い、アクセスを維持します。その結果、リフレッシュトークンは非アクティブ状態によって期限切れになることはありません。
Saveをクリックしてください。

次に、Next Generation API データ保護インベントリページを見て、Salesforceアカウント内のさまざまなエンティティについて深い洞察を得ることができます。インベントリページの詳細については、次世代APIデータ保護インベントリをご覧ください。

Skope ITでは、監査イベントや標準的なユーザー行動分析アラートを受信できます。詳細については、次世代 API データ保護スコープ IT イベントをご覧ください。

次に、次世代 API データ保護ポリシーを構成する必要があります。これを行うには、「次世代 API データ保護ポリシーウィザード」を参照してください。

強化されたSalesforce監査イベント

Salesforceは、標準的なアクティビティログを超えた豊富な監査イベントデータを提供しています。強化された監査イベントを有効にすることで、NetskopeはOAuthトークンの活動とAPIという2つの追加データソースを可視化し、Salesforce環境におけるユーザーおよびアプリケーションの動作をより深く捉えるエクスポートイベントログをレポートできます。この強化されたアクティビティデータは、異常なサードパーティアプリの認可や異常なAPIやレポートのエクスポート活動の検出など、Salesforceの脅威検出シナリオを Netskope Behavior Analytics で強化しています。これらの強化された監査イベントを設定することは、将来の検出機能を実現するための前提条件です。設定後、すぐに目に見える効果は現れません。

Salesforceの監査イベントを拡張する設定は任意です。

Salesforce監査イベントの監視を強化するには、Salesforce環境で追加の権限を設定する必要があります。

OAuthTokenOAuthTokenオブジェクトへの可視性を提供し、Salesforce でサードパーティアプリケーションが承認または再承認されたタイミングをシステムが追跡できるようにします。
EventLogFileEventLogFileオブジェクトへのアクセスを提供し、システムが API アクティビティをキャプチャし、ユーザーの操作やアプリケーションの動作を監視するためにイベントをエクスポートできるようにします。

これらの設定により、次世代APIデータ保護は、サードパーティアプリの動作とユーザーアクティビティに関するより詳細な可視性を提供できます。詳しい手順については、以下の手順に従ってください。

OAuthToken

すべてのユーザーのOAuthトークンデータを取得するには、 Customize Applicationシステム権限が必要です。

Salesforceシステム管理者アカウントを使用して、 login.salesforce.com にログインしてください。
右上のSetup > Setupをクリックします。
左側のナビゲーションバーで、 ADMINISTRATION > Users > Permission Setsに移動します。次に、以前に作成したNetskope Next-Gen APIをクリックします。
System セクションまでスクロールダウンして、 System Permissionsをクリックしてください。
Editをクリックし、 Customize ApplicationとSaveをチェックしてください。

EventLogFile

イベントログデータを収集するには、Salesforceでイベント監視を有効にして設定する必要があります。

Salesforceシステム管理者アカウントを使用して、 login.salesforce.com にログインしてください。
右上のSetup > Setupをクリックします。
左側のナビゲーションバーで、 SETTINGS > Security > Event Monitoring > Event Monitoring Settingsに移動します。
Generate event log filesが有効になっていることを確認してください。
次に、 Event Managerをクリックします。
API EventとEnable Storage位置を特定します。
Report EventとEnable Storage位置を特定します。

上記の手順を完了すると、NetskopeはSalesforce環境から強化された監査イベントデータの収集を開始します。追加の検証ステップは不要で、Netskope UI上で即時の変更は確認されません。このデータは将来的なリリースで脅威検出を強化するために Netskope Behavior Analytics 使う予定です。