GCP Cloud SQL for MySQLをDSPMに接続する

Overview

Netskope One DSPMは、GCP Cloud SQLのMySQLデータストアのスキャンをサポートしています。 以下の手順に従って、MySQLデータベースをセットアップし、Netskope One DSPMへの接続を設定してください。

データストアの認証

GCP Cloud SQL for MySQL データ ストアを認証するには、スナップショット スキャンまたはNetskope One DSPM固有のクレデンシャルの 2 つの方法があります。

スナップショットスキャンを使う

スナップショット スキャンはより迅速かつ簡単で、 Netskope One DSPM固有のクレデンシャルを作成することなく、 Netskope One DSPMがスキャンできるようにデータ ストアの安全なコピーをスピンアップします。 このコピーはNetskope One DSPMインスタンス内にのみ存在し、Netskope One DSPMは関連データを一切保存しません。データは暗号化された後、すぐに停止されるため、データのコピーは残りません。データストアのコピーを起動すると、スキャン開始プロセスに数時間かかる場合があることにご注意ください。

スナップショットによる認証では、以下の機能はサポートされていません。

• 特権分析
• 使用中のデータの監視
• データベースの選択
• サンプルデータ収集

GCPインフラストラクチャのオンボーディング時にデータストアスナップショットへのアクセスを有効にしていることを確認してください。既にオンボーディング済みのアカウントの場合は、GCP コンソールで権限 Cloud SQL Admin手動で追加する必要があります。

接続すると、データ ストア内のデータ分類はスナップショットを介して実行されます。スナップショットは、ハイパーリンクされたデータ ストア名の右側に小さな層状の四角いメモ アイコンとして [データ ストア インベントリ] ページに表示されます。 後でデータ ストアを編集してスナップショットをオフに切り替えることができます。その時点で、データ ストアを認証するためにNetskope One DSPM固有のクレデンシャルが必要になります。

Netskope One DSPM -Specific クレデンシャルを使う

Netskope One DSPM固有のクレデンシャルを介してデータ ストアを認証するには、GCP 内で追加の構成手順が必要であり、以下で説明する追加の管理サポートが必要になる場合があります。 この認証方式により、Netskope One DSPMでサポートされているすべての機能にアクセスできるようになります。

まず、 Netskope One DSPM専用のMySQLサービスアカウントを設定します。 。 以下の手順を実行するには、ローカルのデータベース管理者のサポートが必要になる場合があります。

1. 管理者として、MySQLデータベースのシェルにログインしてください。使う これらのGCP命令です。
2. MySQLシェルプロンプトで以下のコマンドを順番に実行して、Netskope One DSPM専用のMySQLユーザーを作成します。

Command	結果	注記
CREATE USER 'dasera_user'@'%' IDENTIFIED BY 'dasera_password';	Netskope One DSPM専用のユーザーを作成します。	dasera_user とdasera_password  、お好みの値に置き換えてください。@'%' は、リモート接続をサポートするユーザーを作成します。代替案として、特定のIPアドレスを許可するには、@'#.#.#.#' に置き換えてください。
GRANT SELECT ON *.* TO 'dasera_user'@'%';	Netskope One DSPMプラットフォーム内の機能を強化するために必要な権限をNetskope One DSPM固有のユーザーに付与します。	dasera_user を上記の値「使う」に置き換えます。*.*これは「すべてのスキーマ、それらのスキーマ内のすべてのテーブル」を意味し、将来のテーブルやスキーマにも適用されます。

クエリログの設定（オプション）

Netskope One DSPMのデータ使用監視機能には、クエリ ログへのアクセスが必要です。 この機能を利用するには、MySQLインスタンスを設定して、そのようなログの生成を開始する必要があります。  

MySQLのsql_log_offセッション変数を設定する権限を持つユーザーは、自身のセッションのログ記録を無効にすることができます（また、制限付きセッション変数を設定する別の権限も必要です）。セキュリティと監査可能性を最大限に高めるため、この設定へのアクセスと調整は制限されるべきです。

これらの変更を有効にするには、MySQLサーバーの再起動が必要です。ユーザーへの影響を最小限に抑えるため、この再起動は社内で周知されたメンテナンス期間中に実施することをお勧めします。

以下の手順を実行するには、ローカルデータベース管理者のサポートが必要になる場合があります。

以下の手順に従って、これらの設定を定義してください。

1. このリンクをクリックしてGCPコンソールにログインすると、SQLインスタンスの一覧が表示されます。Netskope One DSPMでスキャンしたいデータベースについては、インスタンスID列の下にある名前値をクリックすると、概要画面に移動します。
2. 概要画面で、上部のメニューバーにある「編集」ボタンをクリックします。
3. 次の画面で、下にスクロールして「国旗」セクションを展開してください。 
4. 以下のフラグを設定してください
   
   

Flag	Value
general_log	On
log_output	TABLE

5. 設定を確認するには「完了」をクリックし、保存ボタンを押してください。 
6. MySQLデータベースを再起動してください。
   
   

接続情報を取得する

Netskope One DSPMは、MySQLインスタンスと通信するために追加情報を必要とします。接続の詳細はNetskope One DSPM固有のクレデンシャルを使用してデータ ストアに接続するか、スナップショット スキャンを使用してデータ ストアに接続するかによって異なります。

Netskope One DSPMの接続情報 - クレデンシャル固有

後で使用するために、以下の手順に従って接続値を特定してください。 Netskope One DSPM内。

1. このリンクをクリックしてGCPコンソールにログインすると、SQLインスタンスの一覧が表示されます。
2. Netskope One DSPMでスキャンするデータベースインスタンスについては、以下の値をメモしておいてください。この値は後ほどNetskope One DSPM内でデータストアに接続する際に使用されます。

Database Value	対応するNetskope One DSPM値	例（強調表示された値を参照）
パブリックIPアドレス	データストアエンドポイント

スナップショットスキャンの接続情報

後で使用するために、以下の手順に従って接続値を特定してください。 Netskope One DSPM内。

1. このリンクをクリックしてGCPコンソールにログインすると、SQLインスタンスの一覧が表示されます。
2. Netskope One DSPMでスキャンするデータベースインスタンスについては、以下の値をメモしておいてください。この値は後ほどNetskope One DSPM内でデータストアに接続する際に使用されます。

Database Value	対応するNetskope One DSPM値	例（強調表示された値を参照）
インスタンスID	データストアインスタンスID

データストアを接続する

ステップ 1: クレデンシャルを提供する

接続を設定するには、以下の手順に従ってください。

1. Data Stores > Data Store Inventoryへ移動してください。

2. 右上のCONNECT A DATA STOREクリックしてください。

   ヒント：または、データストアが自動検出によって既に見つかった場合は、 Discoveredタブに移動し、[アクション] 列のConnectをクリックします。

   

3. In the Connect a Data Store window, click the data store icon you wish to connect.

4. 「クレデンシャルの提供」セクションで、次のフィールドに入力します。

Field	Value
GCPアカウントSelect	Infrastructure Section screen内に定義されている GCP アカウントのいずれかSelect 。GCPアカウントが1つだけ設定されている場合は、このフィールドにデフォルト値が設定されます。
データストア識別子	このデータストアを分かりやすく説明する名前を付けてください。あなたの値は、ポリシー管理や分類管理など、Netskope One DSPMの他の画面にも表示されます。
データストアインスタンスID（スナップショットスキャンの場合）	上記のConnection Information for Snapshot Scan step から対応する値を入力してください。
データ ストア エンドポイント ( Netskope One DSPM固有のクレデンシャルの場合)	上記のConnection Information for Netskope One DSPM-Specific Credentials step から対応する値とポート番号を入力してください。例えば、1.2.3.4のようなパブリックIPアドレスの場合、1.2.3.4:3306 と入力します。 3306はMySQLのデフォルトのポート番号です。もし カスタムポート番号を使用している場合は、必ずここに置き換えてください。
データベース ユーザー名 ( Netskope One DSPM固有のクレデンシャルの場合)	上記ステップUsing Netskope One DSPM-specific Credentials で作成したサービスユーザーアカウントの対応する値を入力してください。
パスワード ( Netskope One DSPM固有のクレデンシャルの場合)	上記手順Using Netskope One DSPM-specific Credentials で設定したサービスユーザーアカウントのパスワードに対応する値を入力してください。
スキャン周波数	データストアの変更を確認する頻度を制御します。Netskope One DSPM の推奨頻度がデフォルト値として設定されていますが、必要に応じて上書きすることもできます。
サイドカープール	使う sidecar を監視する場合は、ネットワークでそのデータストアを監視できるサイドカープールを選択してください。このフィールドは、少なくとも1つのサイドカープールが定義されている場合に表示されます。 詳細については、サイドカー管理に関する記事をご覧ください。

ステップ2：インフラストラクチャのスキャン

1. Nextをクリックしてください。
2. 「機能のSelect 」タブが表示されたら、以下のフィールドに入力してください。
   • Assign a Data Owner （オプション）：このデータストアの責任者であるユーザーを1人以上Select 。
   • Which databases should Netskope DSPM scan?監視する具体的なデータストアやスキーマ Select 、該当する場合は。
   • Features有効にしたい機能Select 。

Capability	Netskope OneDSPM特有クレデンシャルを介して、MySQL for GCP Cloud SQL をサポートしています	GCP Cloud SQL for MySQL のスナップショットスキャンによるサポート
Discovery	はい（常時オン）	はい
特権分析	はい 注: この機能を使用するには、MySQL バージョン 8.0 以上が必要です。古いバージョンのMySQLをお使いの場合は、 続行する前にこの設定を無効にしてください。	いいえ
シャドウデータ分析	はい	いいえ
分類	はい	はい
使用中のデータの監視	はい 注: この機能を有効にする前に、クエリログを設定する必要があります。上記のConfigure Query Logging sectionを参照してください。	いいえ
Automation	はい（常時オン）	はい

ステップ3：確認して保存する

1. Saveをクリックしてください。
   • Reviewタブが表示されたら、システムは設定を検証します。問題が発生した場合は、画面の指示に従って解決してください。
2. 接続を確定するには、 Saveをクリックしてください。