AWS RDS MySQLをDSPMに接続する

Overview

Netskope DSPM 、AWS MySQL データ ストアのスキャンをサポートしています。 以下の手順に従って、MySQLデータベースをセットアップし、Netskope DSPMへの接続を設定してください。

データストアの認証

RDSおよびAuroraデータストアを認証する方法は、スナップショットとサービスアカウントの2種類があります。

Using Snapshots

スナップショットはより迅速かつ簡単で、サービスアカウントを作成する必要なく、Netskope DSPMがスキャンするためのデータストアの安全なコピーを生成します。このコピーはNetskope DSPMインスタンス内にのみ存在し、Netskope DSPMは関連データを一切保存しません。データは暗号化された後、すぐに停止されるため、データのコピーは残りません。データストアのコピーを起動すると、スキャン開始プロセスに数時間かかる場合があることにご注意ください。

以下の機能はサポートされていませんスナップショット経由で認証する場合：

• 特権分析
• 使用中のデータの監視
• データベースの選択
• サンプルデータ収集

AWS インフラストラクチャのオンボーディング時にデータストアスナップショットへのアクセスを有効にしていることを確認してください。すでにオンボーディング済みのアカウントについては、IAM ポリシー 使う for DSPM データ Store Snapshots Access に必要な権限が含まれていることを確認してください(これも機能3:Unmanaged データ Stores の権限が必要です)。 AWS組織をオンボーディングしたのか個別アカウントで行ったのかによって、これらの詳細な権限は「Onboard AWS Infrastructure Hand」記事の以下の項目で確認できます:

• Instructions > Onboard an AWS Organization > Step 3 (Optional): Create the Custom IAM Policy > Feature 4: Authorize Data Store Snapshots Access
• Instructions > Onboard an Individual AWS Account > Step 3 (Optional): Create the Custom IAM Policy > Feature 4: Authorize Data Store Snapshots Access

接続すると、データ ストア内のデータ分類はスナップショットを介して実行されます。スナップショットは、ハイパーリンクされたデータ ストア名の右側に小さな層状の四角いメモ アイコンとして [データ ストア インベントリ] ページに表示されます。 後でデータストアを編集してスナップショットを無効にすることができます。その場合、データストアを認証するためにサービスアカウントが必要になります。

Netskope DSPMサービス アカウントを使用する

まず、 Netskope DSPM専用のMySQLサービスアカウントを設定します。 。 以下の手順は、上記に記載されているすべてのクラウドインフラストラクチャソリューションに適用されます。RDSへの認証は、 パスワード認証またはIAMベース認証のどちらでもサポートされています。

クエリログの設定（オプション）

Netskope DSPMのデータ使用監視機能には、クエリ ログへのアクセスが必要です。 この機能を利用するには、MySQLインスタンスを設定して、そのようなログの生成を開始する必要があります。

• MySQLのsql_log_offセッション変数を設定する権限を持つユーザーは、自身のセッションのログ記録を無効にすることができます（また、制限付きセッション変数を設定する別の権限も必要です）。セキュリティを最大限に確保するため、この設定へのアクセスを制限してください。
• これらの変更にはMySQLサーバーの再起動が必要です。この再起動はメンテナンス時間帯に実施することをお勧めします。

以下の手順を実行するには、ローカルデータベース管理者のサポートが必要になる場合があります。

1. このリンクをクリックしてAWS RDSコンソールにログインしてください。

2. 左側のメニューのAmazon RDSで Parameter groupsに移動します。

3. MySQL データベースの既存のパラメータ グループSelect (または、 AWS の手順に従って新しいパラメータ グループを作成します)。

4. Edit parametersをクリックしてください。

5. 検索ボックスで、以下のパラメータキーを見つけて、対応する値を設定してください。

   Flag	Value
   general_log	On
   log_output	TABLE

6. Saveをクリックしてください。

7. MySQLデータベースのシェルにログインし、以下のコマンドを実行してログローテーションを管理します。

   Command	結果	注記
   CALL mysql.rds_rotate_general_log;	mysql.general_log_backupテーブルを削除し、 mysql.general_logをgeneral_log_backupに名前変更し、新しいmysql.general_logテーブルを作成します。	mysql.rds_rotate_general.log は、すべての AWS MySQL データベースに付属する関数です。詳細については、 AWS RDS のドキュメントをご覧ください。 注：ログのサイズを制限するため、AWS RDS はログが 10GB を超えるか、データベース容量の 10% を超えると、この関数を呼び出します。MySQL サーバーを設定して、この関数を定期的に呼び出すこともできます。

8. できるだけ早くMySQLサーバーを再起動してください。

接続情報を取得する

Netskope DSPMは、サービスアカウントの設定に加えて、MySQLインスタンスと通信するために追加の情報も必要とします。

1. このリンクをクリックしてAWS RDSコンソールにログインしてください。

2. 左側のメニューの「Amazon RDS」で、 Databasesに移動します。

3. Netskope DSPMでスキャンしたいデータベースについては、「DB識別子」列にある該当するリンクをクリックしてください。

   • Note: Aurora MySQL の場合は、「Regional cluster」ではなく「Writer Instance」の役割を持つデータベースを選択してください。

4. 「接続性とセキュリティ」セクションで、以下の値をメモしておいてください。

   ハイライトカラー	対応するNetskope DSPM値	例
   青（エンドポイント）	データストアエンドポイント
   グレー（ポート）	データストアエンドポイント

データストアを接続する

AWSデータストアへの接続を試みる前に、 Netskope DSPM専用のAWSサービスアカウントを設定し、このデータストア用のAWSインフラストラクチャをオンボーディングしていることを確認してください。

ステップ 1: クレデンシャルを提供する

接続を設定するには、以下の手順に従ってください。

1. Data Stores > Data Store Inventoryへ移動してください。

2. 右上のCONNECT A DATA STOREクリックしてください。

   ヒント：または、データストアが自動検出によって既に見つかった場合は、 Discoveredタブに移動し、[アクション] 列のConnectをクリックします。

   

3. In the Connect a Data Store window, click the data store icon you wish to connect.

4. 「クレデンシャルの提供」セクションで、次のフィールドに入力します。

Field	Value
AWSアカウントSelect	Infrastructure Section画面で定義されているAWSアカウントのいずれかSelect 。 AWSアカウントが1つだけ設定されている場合は、このフィールドにデフォルト値が設定されます。
データストア識別子	このデータストアを分かりやすく説明する名前を付けてください。
データストアエンドポイント	上記の「接続情報の取得」手順で得られた対応する値とポート番号を入力してください。 例えば、 example.rds.amazonaws.comのようなアドレスの場合は、 example.rds.amazonaws.com:3306と入力します。（注：3306はデフォルトのMySQLポート番号です。カスタムポートを使用する場合は、この番号に置き換えてください。）
認証方法	希望する認証方法（スナップショット、IAM、またはユーザー名/パスワード） Select 。
データベースユーザー名	上記のNetskope DSPMサービスアカウント」の手順から、対応する値を入力してください。 Netskope DSPMサービスアカウント。
パスワード	認証方法が「ユーザー名／パスワード」の場合は、上記のパスワード認証手順で得られた対応する値を入力してください。
スキャン周波数	データストアの変更をレビューする頻度を制御します。
サイドカープール	使う sidecar を監視する場合は、ネットワークでそのデータストアを監視できるサイドカープールを選択してください。 このフィールドは、少なくとも1つのサイドカープールが定義されている場合に表示されます。 詳細については、サイドカー管理に関する記事をご覧ください。

ステップ2：インフラストラクチャのスキャン

1. Nextをクリックしてください。
2. 「機能のSelect 」タブが表示されたら、以下のフィールドに入力してください。
   • Assign a Data Owner （オプション）：このデータストアの責任者であるユーザーを1人以上Select 。
   • Which databases should Netskope DSPM scan?監視する具体的なデータストアやスキーマ Select 、該当する場合は。
   • Features有効にしたい機能Select 。

Capability	サービスアカウント経由でのAWS Aurora MySQLのサポート	AWS Aurora MySQL のスナップショットによるサポート
Discovery	はい（常時オン）	はい
特権分析	はい Note: MySQL バージョン 8.0 以上が必要です。それより古いバージョンでは無効にしてください。	いいえ
シャドウデータ分析	はい	いいえ
分類	はい	はい
データ使用監視	Yes Note: Query logging must be configured first.	いいえ
Automation	はい（常時オン）	はい

ステップ3：確認して保存する

1. Saveをクリックしてください。
   • Reviewタブが表示されたら、システムは設定を検証します。問題が発生した場合は、画面の指示に従って解決してください。
2. 接続を確定するには、 Saveをクリックしてください。