Terraform経由でOCI上でDSPM Sidecarを展開します

Overview

Netskope Data Security Posture Management(DSPM)アプリケーション(Netskope One DSPMとも呼ばれる)使うサイドカーは、データストアをスキャンし結果をNetskope DSPMプラットフォームに送信します。Oracle Cloud Infrastructure(OCI)環境では、これらのサイドカーを使うTerraformのコンピュートインスタンスとして展開できます。

このガイドでは、Terraform経由でOCI上で Netskope DSPM サイドカーを展開する方法、接続性の検証、そしてオプションで使うHTTPSプロキシに設定する方法を説明します。

前提条件

以下のOCIおよびローカル環境要件が準備されていることを確認してください。

OCI Prerequisites:

• DSPM Sidecar Image: DSPM OCIサイドカーイメージ用の事前認証リクエスト(PAR)URLがあります(Netskopeサポートからのリクエスト)。
• User Permissions: デプロイメントを実行するOCIユーザーには、以下の権限を付与するポリシーが割り当てられている必要があります。
  • manage instance-family
  • read app-catalog-listing
  • use volume-family
  • use virtual-network-family
• OCI Tenancy and Compartment: 仮想クラウドネットワーク（VCN）、サブネット、セキュリティリストまたはネットワークセキュリティグループを作成する権限を持つ、OCIテナンシー、コンパートメント、およびID構成。

Local Environment Prerequisites:

• OCI CLI: OCIのコマンドラインインターフェースをインストールし、OCIテナンシーで認証するように設定しています。使う APIキーです。
• Terraform Environment: OCIテナント内のリソースを管理するために、Terraformがインストールされ、構成されています。

DSPM Prerequisites:

• Netskope DSPM Tenant: Your DSPM tenant hostname (e.g., mytenant.goskope.com).
• Sidecar Pool Token: DSPMコンソールから生成されたトークンです。

Architecture

Netskope DSPMメインアプリケーションと並行して1つ以上のサイドカーをデプロイできる、柔軟なアーキテクチャです。 これらのサイドカーはデータ ストアに直接接続してサンプルを収集し、ローカルの DLP アプライアンスがサンプルをスキャンします。 その後、サイドカーは分類結果をNetskope DSPMアプリケーションにアップロードします。

単一のサイドカーは、インストールされた環境内の複数のデータストアを効率的にスキャンできる。通常は、VPCやVNetなどの分離されたネットワークごとに1つのサイドカーをデプロイしますが、拡張性と冗長性を高めるために複数のサイドカーをインストールすることもできます。このような高可用性構成では、Netskope DSPMアプリケーションが、指定されたプール内のすべての正常なサイドカー間でスキャン操作の負荷分散を自動的に行います。

次の図は、Netskope DSPMのリソースとお客様の環境との関係を示しています。

送信出力の設定

NetskopeはNetskope DSPMアプリケーションをホストおよび管理しているため、外部への通信を許可するようにファイアウォールまたはセキュリティグループの設定を更新する必要があります。ポート 443 で次のグループを使用するホワイトリストを構成します。

• Required for Core ConnectivityサイドカーがDSPMプラットフォームと通信できるようにするには、これらのアドレスを追加します。テナント名に [TENANT] を代入します:

  住所
  [TENANT].goskope.com
  sidecar-[tenant].goskope.com
  netskope-dspm-release.s3.us-west-2.amazonaws.com
  995750983908.dkr.ecr.us-west-2.amazonaws.com

Required for Installation Packages (Temporary): コンテナまたは環境が追加の依存関係を取得する必要がある場合は、インストールプロセス中に必要なパッケージをダウンロードするために、これらのアドレスを追加してください。

Note: これらのドメインは、初期設定時のみ必要です。サイドカーが完全にデプロイされたら、それらを許可リストから削除できます。

• api.snapcraft.io
• dashboard.snapcraft.io
• *.snapcraftcontent.com

サイドカープールの設定

サイドカーとNetskope DSPMでホストされているテナント間の関係を設定するには、サイドカー管理UI内で生成された固有の認証トークンをサイドカーに提供する必要があります。

1. Netskope DSPMアプリケーションにログインしてください。

2. Administration > Sidecar menuへ移動してください。

3. Add Sidecar Poolをクリックしてください。

4. On the Details tab, complete the following field:

   Field	Value
   名前	サイドカープールを表現するのに適切な値。

5. Saveをクリックしてください。

6. サイドカー認証トークンのモーダルウィンドウの下部にあるCopyクリックすると、生成されたトークンがクリップボードに保存されます。

   

7. モーダルを閉じるには、 Xボタンをクリックしてください。

このトークンをサイドカーにまだ関連付けていないため、サイドカープールは右上のShow Inactive Sidecarsアイコンをクリックしたときにのみ表示され、「バージョン」、「ステータス」、「DLPステータス」の列は「今」の時点では空になっています。

サイドカーイメージをインポートする

まず、カスタムDSPMサイドカーイメージをOCIテナントにインポートして、デプロイできるようにします。

1. Oracle Cloudコンソールにログインしてください。
2. Compute > Custom Imagesへ移動してください。
3. Import Imageをクリックしてください。
4. 「画像のインポート」ダイアログで、以下の項目を入力してください。
   • Compartment: 画像を配置したい区画を選択してください。
   • Name: 画像に分かりやすい名前を入力してください。
   • Operating System: Ubuntu Select 。
   • Import from: Object Storage URL Select 。
   • Object Storage URL: Netskopeサポートから受け取ったPARのURLを貼り付けてください。
   • Image Type: OCI Select 。
5. Import Imageをクリックしてください。
6. 画像のステータスが「インポート中」から「利用可能」に変わるまで待ってから、先に進んでください。

OCI Terraformデプロイメントの計画

Terraformを実行する前に、デプロイ時に入力する必要のある主要な論理値を確認してください。

パラメータ	Value
region	サイドカーがデプロイされるリージョンの名前（例：us-sanjose-1）。
compartment_id	サイドカーが配置される区画のOCID。
availability_domain	サイドカーがデプロイされる可用性ドメイン。
subnet_id	サイドカーがデプロイされるサブネットのOCID。
image_id	ステップ1でインポートしたDSPMサイドカーイメージのOCID。
ssh_public_key_path	サイドカーインスタンスのSSH公開鍵へのローカルパス サイドカーインスタンス用。
netskope-dspm_host	Netskope DSPM SaaSインスタンスのホスト（例：example.goskope.com）。
sidecar_token	Netskope UI から生成された、既存または新規のサイドカートークン。

Terraformを使用してOCIにサイドカーをデプロイする

Terraform を使用して OCI インフラストラクチャをプロビジョニングし、 Netskope DSPMサイドカー インスタンスをデプロイします。

1. Terraformスクリプトは以下のURLからダウンロードしてください。
   https://netskope-dspm-release.s3.us-west-2.amazonaws.com/oci-sidecar-dlp.zip
2. ファイルを解凍し、コマンドラインインターフェースで解凍したフォルダに移動してください。
3. 以下のコマンドを実行して Terraform 環境を初期化します:
   terraform init 初期化が完了すると、成功メッセージが表示されます。
4. 構成を検証し、計画されているリソースを確認するには、次のコマンドを実行してください。
   terraform plan
5. 指示が表示されたら、上記の計画ステップで定義した必須パラメータを入力します（または、 terraform.tfvarsファイルで定義します）。
6. applyコマンドを実行して、デプロイを開始します。
   terraform apply
7. Terraformは、作成されるリソースの一覧を表示します。デプロイを確定して実行するには、 yesと入力してEnterキーを押してください。
8. スクリプトが正常に完了すると、新しく作成されたコンピューティングインスタンスの詳細（OCID、名前、リージョンなど）が出力されます。

サイドカーのデプロイメントを検証する

Terraformによるデプロイが完了したら、OCIでサイドカーインスタンスが実行されていることを確認してください。

1. OCIコンソールでCompute > Instancesに移動します。
2. Terraformデプロイメントによって作成されたサイドカーインスタンスを探します。
3. インスタンスのライフサイクル状態がRunningであることを確認してください。
4. インスタンスが想定されるVCN、サブネット、セキュリティリスト、またはネットワークセキュリティグループに接続されていることを確認してください。
5. セキュリティ設定で許可されている場合 インスタンスに接続します SSHで接続し、サイドカーサービスまたはコンテナが実行されていることを確認します。

サイドカー接続の検証

サイドカーをデプロイする際には、サイドカーがテナントにアクセスできることを確認する必要があります。サイドカーからの接続を確認するには、以下の手順に従ってください。

1. Netskope DSPMアプリケーションにログインしてください。
2. Administration > Sidecarへ移動してください。
3. 該当するサイドカーについて、以下を検証してください。
   • The Version column is populated.
   • The Status indicator is green. 
   • DLP Status列は、DLP アプライアンスへの正常な接続を示します。

新たに稼働しているサイドカーがNetskope DSPMアプリケーションと通信するのに数分かかる場合があります。

SSLプロキシ環境の設定（オプション）

組織が送信トラフィックを SSL プロキシ経由でルーティングしている場合は、サイドカーを HTTPS プロキシに設定してください。 これにより、サイドカーは OCI 上で実行しながら、指定されたプロキシを介してNetskope DSPMプラットフォームと通信できるようになります。

プロキシの設定方法は、Terraformテンプレートがインスタンスをどのようにセットアップするかによって異なります。

• If Terraform passes environment variables or user data to the sidecar: Terraform変数ファイルやユーザーデータテンプレートで HTTPS_PROXY 値を設定または更新し、その後再実行 terraform apply。
• If you manage configuration directly on the instance: サイドカーインスタンス（例えば、サイドカーサービスユニットまたはコンテナ環境）に環境変数HTTPS_PROXYまたは同等の設定を行い、サイドカーサービスを再起動します。

プロキシ設定を更新した後は、新しい設定を有効にするために、サイドカーインスタンスを再デプロイまたは再起動してください。ステータス列とDLPステータス列を確認することで、 Administration > Sidecarの下でサイドカーが正常であることを確認できます。

サイドカートークンを回転させる

セキュリティ対策で定期的なトークンローテーションが必要な場合、または無効なトークンが原因でサイドカーがNetskope DSPMアプリケーションとの通信を停止した場合は、サイドカープールのトークンをローテーションし、OCIサイドカーの設定を更新してください。

Netskope DSPMで新しいトークンを生成する

この手順を使用して、 Netskope DSPMコンソールで新しいサイドカー プール トークンを作成します。

1. Netskope DSPMインスタンスにログインしてください。
2. サイドカー管理画面を開くには、 Administration > Sidecarに移動してください。
3. トークンをローテーションしたいサイドカープールの登録については、 Generate New Tokenアイコンをクリックしてください。
4. 「新しいトークンを生成する」モーダルが表示されます。情報を確認してConfirmをクリックしてください。
5. モーダルウィンドウの下部にあるCopyクリックすると、生成されたトークンがクリップボードに保存されます。
6. モーダルを閉じます。

OCIで新しいトークンを適用する

新しいトークンを生成した後、それを使用できるように OCI デプロイメントを更新します。 デプロイメントの設定方法に応じて、Terraform を介して、またはインスタンス上で直接、サイドカー トークンを更新できます。

• If deployed via Terraform: Terraform変数ファイル内のSIDECAR_POOL_TOKEN値を更新し、 terraform applyを実行して変更を確認してください。Terraformはサイドカー構成を更新し、使う新しいトークンを発行します。
• If configured directly on the instance: OCIインスタンス上のサイドカー設定を新しいトークンで更新し、サイドカーサービスを再起動して変更を適用してください。

アップデート後、 Administration > Sidecarの下で、影響を受けるサイドカーが正常なステータス値を示していることを確認してください。

サイドカーをアップグレードする

OCI Terraform経由でデプロイされたNetskope DSPMサイドカーをアップグレードするには：

1. Netskopeのアカウントチームから、最新のNetskope DSPMサイドカーイメージまたはバージョン情報を入手してください。
2. Terraformの設定ファイル内の該当するイメージまたはバージョン変数を更新し、新しいサイドカーのバージョンを指すようにしてください。
3. 計画されている変更内容を確認するには、 terraform planを実行してください。
4. アップグレードを適用するには、 terraform applyを実行してください。
5. OCI コンソールで、サイドカー インスタンスが更新されたイメージで実行されていること、およびインスタンス ログにエラーがないことを確認してください。
6. Netskope DSPMアプリケーションで、 Administration > Sidecarに移動して以下を確認してください。
   • Version列は更新されたバージョンを示します。
   • Status列とDLP Status列は正常な値を示します。