VMware vSphere 上の OVA/OVF 経由で DSPM サイドカーを展開

Overview

このガイドでは、VMware vSphere 環境で OVA/OVF テンプレートを使用する、事前にパッケージ化された仮想アプライアンスとしてNetskope DSPMサイドカーを展開する手順について説明します。この方法は、オンプレミスのデータストアを効率的かつ最小限の手間で導入することを可能にします。

前提条件

Before deploying sidecars, you must have a DLP appliance available in the same network. For prerequisites and deployment instructions, see DSPM Sidecar Administration Overview and Deploy the DLP Appliance for DSPM

以下のコンポーネントと構成が準備されていることを確認してください。

vSphere Environment: VMware vSphere バージョン 6.7 以降。
OVA File: Netskopeが提供する最新のDSPMサイドカー .ova ファイルは、こちらをクリックしてダウンロードできます。
Netskope DSPM Tenant: Your DSPM Tenant URL (e.g., mytenant.goskope.com).
Sidecar Pool Token: Netskope DSPMコンソールから生成。作成するには、 Administration > Sidecar > Add sidecar poolにアクセスしてください。
Network Access: 仮想アプライアンスでは、 Netskope DSPMプラットフォームに接続するためにアウトバウンドインターネットアクセスが必要です。
SSH Client: 初期設定を行うために、SSHクライアント（PuTTYやターミナルなど）を使用してアプライアンスに接続します。
Virtual Appliance Hardware Requirements: 最適なパフォーマンスを得るには、CPUとメモリの比率を1：4にすることをお勧めします。

仕様推奨要件最低要件
CPU 8つのvCPU 6つのvCPU
Memory 32GB RAM 24GB RAM
Storage 100GBの空きディスク容量 100GBの空きディスク容量

DLP Appliance Connectivity: サイドカーは、分類活動を行うためにローカルのDLPアプライアンスとの接続が必要です。使うあなたのDLPプロファイルとルールを。サイドカーをデプロイする前に、以下の点を確認してください。
- DLPアプライアンスは導入されており、サイドカーが設置される同じネットワーク内(または追加のピアリングや複雑なルーティングを避けるために直接接続されたネットワーク内)でアクセス可能です。
- サイドカーとDLPのアプライアンスは、HTTPS(ポート443)を介して通信できなければなりません。
- 必要なREST API v1キーとライセンスキーを生成または取得しました。

仕様	推奨要件	最低要件
CPU	8つのvCPU	6つのvCPU
Memory	32GB RAM	24GB RAM
Storage	100GBの空きディスク容量	100GBの空きディスク容量

Architecture

Netskope DSPMメインアプリケーションと並行して1つ以上のサイドカーをデプロイできる、柔軟なアーキテクチャです。これらのサイドカーはデータストアに直接接続してサンプルを収集し、ローカルの DLP アプライアンスがサンプルをスキャンします。その後、サイドカーは分類結果をNetskope DSPMアプリケーションにアップロードします。

DLP アプライアンスの統合は、現在、OCI ベースのサイドカーデプロイメントではサポートされていません。

単一のサイドカーは、インストールされた環境内の複数のデータストアを効率的にスキャンできる。通常は、VPCやVNetなどの分離されたネットワークごとに1つのサイドカーをデプロイしますが、拡張性と冗長性を高めるために複数のサイドカーをインストールすることもできます。このような高可用性構成では、Netskope DSPMアプリケーションが、指定されたプール内のすべての正常なサイドカー間でスキャン操作の負荷分散を自動的に行います。

次の図は、Netskope DSPMのリソースとお客様の環境との関係を示しています。

送信出力の設定

サイドカーをインストールする環境に、既に制限のないパブリックインターネットアクセスがある場合は、この手順をスキップできます。

NetskopeはNetskope DSPMアプリケーションをホストおよび管理しているため、外部への通信を許可するようにファイアウォールまたはセキュリティグループの設定を更新する必要があります。ポート 443 で次のグループを使用するホワイトリストを構成します。

Required for Core ConnectivityサイドカーがDSPMプラットフォームと通信できるようにするには、これらのアドレスを追加します。テナント名に [TENANT] を代入します:

住所
[TENANT].goskope.com
sidecar-[tenant].goskope.com
netskope-dspm-release.s3.us-west-2.amazonaws.com
995750983908.dkr.ecr.us-west-2.amazonaws.com

住所
`[TENANT].goskope.com`
`sidecar-[tenant].goskope.com`
`netskope-dspm-release.s3.us-west-2.amazonaws.com`
`995750983908.dkr.ecr.us-west-2.amazonaws.com`

Required for Installation Packages (Temporary) インストールプロセス中に必要なパッケージをダウンロードするために、これらのアドレスを追加してください。

これらのドメインは、初期設定時のみ必要です。サイドカーのデプロイが完了したら、それらを許可リストから削除しても構いません。

住所
api.snapcraft.io
dashboard.snapcraft.io
.snapcraftcontent.com

住所
`api.snapcraft.io`
`dashboard.snapcraft.io`
`.snapcraftcontent.com`

サイドカープールの設定

サイドカーとNetskope DSPMでホストされているテナント間の関係を設定するには、サイドカー管理UI内で生成された固有の認証トークンをサイドカーに提供する必要があります。

既にサイドカープールトークンをお持ちの場合は、このセクションをスキップできます。それ以外の場合は、以下の手順に従って新しいトークンを取得してください。

Netskope DSPMアプリケーションにログインしてください。
Administration > Sidecar menuへ移動してください。
Add Sidecar Poolをクリックしてください。
On the Details tab, complete the following field:

Field Value
名前サイドカープールを表現するのに適切な値。
Saveをクリックしてください。
サイドカー認証トークンのモーダルウィンドウの下部にあるCopyクリックすると、生成されたトークンがクリップボードに保存されます。
モーダルを閉じるには、 Xボタンをクリックしてください。

Field	Value
名前	サイドカープールを表現するのに適切な値。

このトークンをサイドカーにまだ関連付けていないため、サイドカープールは右上のShow Inactive Sidecarsアイコンをクリックしたときにのみ表示され、「バージョン」、「ステータス」、「DLPステータス」の列は「今」の時点では空になっています。

上記で生成されたトークンはサイドカープール内の各サイドカーごとに発行されます。

Sidecar アプライアンスの展開と構成

デプロイプロセスでは、まずOVAテンプレートをvSphereにデプロイし、初期構成スクリプトを実行し、その後、自動ブートストラップスクリプトを起動してインストールを完了します。

ステップ1：OVAテンプレートをvSphereにデプロイする

VMware vSphere Clientにログインしてください。
インベントリオブジェクト（クラスター、ホスト、VMフォルダーなど）を右クリックして、 Deploy OVF Templateを選択します。
On the Select an OVF template screen:

Local file > を選択し、 Upload Files > をクリックして、前提条件セクションからダウンロードした.ova ファイルをSelect >をクリックしてNextをクリックします。

この手順中に、「SSL証明書は信頼できません」という「ソース検証」警告が表示される場合があります。これは予想通りだ。続行するにはYESをクリックしてください。
仮想マシンに一意かつ説明的な名前(例: netskope-dspm-sidecar)をデータセンターやフォルダの場所 > Select 提供 > クリック Next。
Select a target host or cluster where the Virtual Machine (VM) will run > Click Next.
Select 少なくとも50GBの空き容量があるデータストア > クリック Next。
ドロップダウンリストから適切なネットワークセグメント(VMネットワーク)をSelectします。このネットワークがインターネットにアクセスできることを確認してください> クリックNext 。
最後の「完了準備完了」画面で、設定を確認し、 Finishをクリックします。

ステップ2：デプロイメントプロパティをカスタマイズする

デプロイプロセス中に、vSphereはアプライアンスのプロパティをカスタマイズするように促します。

Customize template画面で、以下の必須パラメータを入力してください。

Tenant Host Configuration: Your tenant URL, without the https:// prefix (e.g., mytenant.goskope.com).
Authentication Configuration: DSPMテナントから生成したトークン。
Sidecar Configuration: この特定のサイドカーインスタンスに付けるカスタム名（例： Netskope - DSPM -sidecar-latest）。
HTTPS Proxy Configuration (Optional): 組織が送信トラフィックをSSLプロキシ経由でルーティングしている場合は、HTTPSアドレスを入力して、サイドカートラフィックを指定されたプロキシ経由で強制的にルーティングしてください。
- Note:仮想マシンがすでに稼働した後にSSLプロキシを設定する必要がある場合は、展開後の手順として「DSPM仮想アプライアンスサイドカー(OVA)の管理」を参照してください。

ステップ 3: 電源を入れてアプライアンスに接続する

OVAデプロイメントが完了したら、vSphereのインベントリで新しい仮想マシン(VM)を見つけ> 再生ボタンをクリックしてpower it on。
VMが起動したら、vSphereのVM概要画面からそのIPアドレスを取得します。
SSH クライアントを使用してアプライアンスの IP アドレスに接続します。
ssh netskope@<VM_IP_ADDRESS>
デフォルトのクレデンシャルでログインします。
- Login: netskope
- Password: netskope
ログインが成功すれば、基本システムが正常に動作しており、ネットワーク接続が確立され、SSHアクセスが正しく機能していることが確認できます。

セキュリティ上の理由から、初回ログイン後すぐに初期パスワードを変更することを強くお勧めします。passwdコマンドを実行し、画面の指示に従ってください。
セットアップスクリプトをsudo権限で実行します:
sudo /opt/netskope/setup-sidecar.sh
- このスクリプトはまず、仮想マシンが最低限のCPUとメモリの要件を満たしているかどうかを検証します。
画面の指示に従って、設定パラメータ（サイドカー設定、テナントホスト設定、認証設定）を確認してください。OVA展開時に入力した値がデフォルト値として表示されます。

プロンプトが表示されたら、 Are you sure to use these variables for Sidecar deployment? (Y/N): y入力してEnterキーを押し、設定を保存します。
- 設定は/opt/netskope/sidecar-config.envファイルに保存されます。

Step 4: Run the Automated Bootstrap Script

設定を保存したら、ブートストラップスクリプトを実行します。
sudo /opt/netskope/bootstrap.sh

このスクリプトは、必要なすべてのコンポーネントのインストールを自動化します。このプロセスには10～15分かかる場合があります。完了すると、確認メッセージが表示されます: Appliance is fully configured and ready! 。

スクリプトがソフトウェアをダウンロードしてインストールする間、コンソールに大量のテキスト出力が表示されます。これは正常で想定される行動です。

展開検証

すべてのコンポーネントがアクティブであることを確認するために、ローカル検証（SSH経由）で以下のコマンドを実行してください。

Bash	Validation	期待される出力
`microk8s kubectl get pods -n netskope`	ポッドの状態を確認してください。これは、アプリケーションコンポーネントが正しく動作していることを確認するための最も重要なコマンドです。	- 両方のデプロイメントで`READY`列に`1/1`表示されるはずです。 - `dspm-sidecar`および`netskope-classification-engine`ポッドで`STATUS`または`Running`が表示されるはずです。
`microk8s kubectl get deployments -n netskope`	デプロイメントのステータスを確認してください。これにより、各コンポーネントに必要な数のポッドが利用可能であることが確認されました。	- 両方のデプロイメントで、 `READY`列に`1/1`表示されるはずです。 - `UP-TO-DATE`列と`AVAILABLE`列に`1`表示されるはずです。

サイドカー接続の検証

サイドカーをデプロイする際には、サイドカーがテナントにアクセスできることを確認する必要があります。サイドカーからの接続を確認するには、以下の手順に従ってください。

Netskope DSPMアプリケーションにログインしてください。
Administration > Sidecarへ移動してください。
該当するサイドカーについて、以下を検証してください。
- The Version column is populated.
- The Status indicator is green.
- DLP Status列は、DLP アプライアンスへの正常な接続を示します。

新たに稼働しているサイドカーがNetskope DSPMアプリケーションと通信するのに数分かかる場合があります。

これらの値が更新されない場合は、構成（サイドカープールトークン、テナントホスト名、ネットワークアクセス、DLP接続）を再確認し、必要に応じて再デプロイしてください。さらなるトラブルシューティングのガイダンスについては、「 DLPによるDSPMのトラブルシューティング」をご覧ください。

次のステップ

サイドカーが完全に展開され、DLPのアプライアンスと連携すると、自動的にデータストアのスキャンを処理します。サイドカーをDLPアプライアンスにリンクし、データ分類を有効にするには「DLPアプライアンスをサイドカープールにリンク」をご覧ください。サイドカー版のアップグレード、セキュリティトークンのローテーション、展開後のプロキシ設定などの継続的なメンテナンス作業については、「バーチャルアプライアンスサイドカー(OVA) DSPM 管理」をご覧ください。