Overview
使うサイドカーのデータ分類を行う際にはDLPアプライアンスが必要です。 このガイドでは、 DSPM特有の手順を案内し、DLPアプライアンスを DSPM 環境で使う用に準備、ダウンロード、設定する方法を案内します。
サイドカーサービスとDLPサービスを1つの仮想マシンにまとめるシングルアプライアンスを展開したい場合は、専用のデプロイ指示に従ってください。
詳しくはこちら: DSPMシングルアプライアンスを展開してください。
前提条件
DLPアプライアンスを展開する前に、以下の要件を満たしていることを確認してください。
-
Network Planning: DLPアプライアンスは、サービスを提供するサイドカーと同じネットワーク内、または直接接続されたネットワーク内に存在しなければなりません。 両方のコンポーネントは、HTTPS（ポート443）を介して相互にアクセスできる必要があります。
-
Appliance Sizing: 特に推奨がない限り、中型のアプライアンスを展開してください。 小型サイズは、概念実証テストのみを目的としています。
AWS GCP Azure VM（ESXi/Hyper-V/KVM） 同時リクエスト Min Disk Small c5ad.4xlarge n2-standard-16 Standard-F16s_v2 16 cores / 32 GB 480 rps (burst 576) 351 GB Medium c5ad.8xlarge n2-standard-32 Standard-F32s_v2 32 cores / 64 GB 1280 rps (burst 1536) 351 GB Large c5ad.16xlarge n2-standard-64 Standard-F64fs_v2 64 cores / 128 GB 2880 rps (burst 3456) 351 GB AWSの地域で c5ad が利用できない場合、使う c5a。 最適なパフォーマンスを確保するために、使う SSDs すべてのインスタンスで対応します。 ESXiは、作成後の動的なサイズ変更をサポートしていません。
サイズが合わないアプライアンスを展開すると、DLPのアプライアンスはリソースのスケーリングアップやダウンに対応していません。 アプライアンスを正しいサイズで再デプロイする必要があります。 -
Networking Considerations:
-
NetskopeのIPアドレスとAmazon S3(例:
*.s3-us-west-1.amazonaws.com)が許可リストに登録されていることを確認してください。tenant.goskope.comがテナントホスト名の場合、config-tenant.goskope.comとcallhome-tenant.goskope.comの IP アドレスも許可してください。 -
また、以下のゲートウェイドメインを許可リストに追加する必要があります。
dlpappliancegw.sv5.goskope.com dlpappliancegw.bom3.goskope.com dlpappliancegw.am2.goskope.com dlpappliancegw.sjc1.goskope.com dlpappliancegw.fr4.goskope.com dlpappliancegw.ruh1.goskope.com dlpappliancegw.mel2.goskope.com dlpappliancegw.sjc2.goskope.com dlpappliancegw.zur2.goskope.com dlpappliancegw.lon3.goskope.com dlpappliancegw.sin2.goskope.com dlpappliancegw.dfw3.goskope.com dlpappliancegw.fra2.goskope.com
– DLPで使うDRMの場合、Microsoft AIP エンドポイントの許可リストも必須です。
– すべての統合サービスはHTTPS(TCP 443)を通じてアプライアンスに到達できなければなりません。
– DLPアプライアンスからのトラフィックのSSL傍受 isn’t 推奨されます。 プロキシが設定されている場合は、該当する証明書をインポートしてください。
– 非同期リクエストシナリオ isn’t サポートされたネットワークロードバランサーの背後に複数のDLPアプライアンスを展開すること。
出口およびポート要件の完全なリストについては、「 DSPM-Hosted Instancesのファイアウォール設定」を参照してください。
-
展開プロセス
以下の手順では、必要な認証キーの生成、アプライアンスイメージのダウンロード、DSPMサイドカー環境へのリンクまでのエンドツーエンドプロセスを概説します。
ステップ1：REST API v1キーを生成する
このキーにより、アプライアンスはホームに連絡して最新のDLP構成を取得することができます。共有 doesn’t 必要だ。Netskopeコンソール内に存在すればいいだけです。
- Netskopeコンソールにログインしてください。
- Settings > Tools > Rest API v1へ移動してください。
- トークンの状態を確認してください。
- If a token already exists: 有効期限が切れないように設定されていることを確認してください。
- If no token exists: Generate New Tokenをクリックして、有効期限を「期限なし」に設定してください。
ステップ2：ライセンスキーを取得する
アプライアンスの設定は、DLPの権利を検証するためのライセンスキーを使います。 Netskopeコンソールは自動的に生成します。
- Netskopeコンソールにログインしてください。
- Settings > Security Cloud Platform > On-Premises Infrastructureへ移動してください。
- この画面に表示されているLicense Key値をコピーしてください。
ステップ3:DLPアプライアンス画像をダウンロード
ダウンロード方法は、ターゲットとなるデプロイプラットフォームによって異なります。
AWSの場合：
- Netskopeコンソールにログインしてください。
- Settings > Security Cloud Platform > On-Premises Infrastructureへ移動してください。
- Setup DLP On-Demandをクリックしてください。
- モーダルウィンドウのAWSセクション内で、 Assignリンクをクリックします。
- AWSアカウントIDとアプライアンスをインストールする地域を入力してください。
- Submitをクリックしてください。
Azure、ESXi、Hyper-V、またはKVMの場合：
- Netskopeコンソールにログインしてください。
- Settings > Security Cloud Platform > On-Premises Infrastructureへ移動してください。
- Setup DLP On-Demandをクリックしてください。
- モーダルの中、希望するプラットフォームのセクション内で、 Download リンクをクリックしてください。
- ダイアログには、SHA-1ハッシュが表示されます。検証のために値を保存するにはCopyをクリックし、次にDownloadをクリックしてください。
GCPの場合：
- Netskopeコンソールにログインしてください。
- Settings > Security Cloud Platform > On-Premises Infrastructureへ移動してください。
- Setup DLP On-Demandをクリックしてください。
- モーダルウィンドウのGCPセクション内で、 Assignリンクをクリックします。
- SelectIdentity Type:
UserかServiceAccountのいずれかです。 - 選択したIDタイプに関連付けられたAccount Email Addressを入力してください。
- Submitをクリックしてください。
ステップ4:DLPアプライアンスを展開する
選択したプラットフォーム(AWS、Azure、ESXi、GCP、Hyper-V、またはKVM)のインストール手順に従ってください。
AWS
- EC2インスタンスを起動します 使う DLP On Demand AMI ( Private Imagesで見られます)。
- Set the Instance Type per the sizing table in Prerequisites.
- 目的のStorageと使うgp3を定義します。
- SSHキーペアは不要です。必要に応じて、ネットワークおよびファイアウォールのセキュリティグループを設定してください。アプライアンスは公開されるべきではありません。
- proceed with no key-pair Selectてインスタンスを起動します。 インスタンスは約30分後に準備完了となります。
Azure
デプロイ中に、Azure から「OS プロビジョニングがタイムアウトしました」という通知が表示される場合があります。これは想定内のことであり、無視しても問題ありません。インスタンスの状態が「実行中」と表示されていることを確認して、準備が整っていることを確認してください。
-
署名済みのURLからVHDファイルをダウンロードしてください。
-
VHDを解凍する：
tar -xvf {downloaded_vhd_tar_file} -C {path} -
Resource Groupの下にStorage Accountを作成します。
-
ストレージアカウントの下にContainerを作成します。
-
ストレージアカウントのページで、 Security + Networking > Shared access signatureに移動します。
-
すべての権限を有効にし、今 Start Time 24時間前、今後24時間 End Time 設定してください。
-
Generate SAS and connection stringをクリックしてSAS tokenをコピーします。
-
AzCopyがインストールされていない場合はインストールしてください。
- 注:使う アップロード AzCopy 。 Azureポータル経由で大容量ファイルをアップロードすることは信頼性が低く、ファイル破損の原因となる可能性があります。
-
VHDファイルをアップロードしてください：
azcopy copy "{local_path}.vhd" "https://{account_name}.blob.core.windows.net/{container_name}/{vhd_name}.vhd?{SAS_TOKEN}" --blob-type PageBlob -
AzureでImagesに移動します。
-
ご希望のプランをお選びください。OS Type: Linuxを設定し、ストレージから VHD を選択します。 Account Type: Premium SSD 、 Encryption: Platform managed 。
-
Review + createをクリックしてください。
-
イメージからインスタンスを作成します。最低Select351 GB Premium SSDディスクが必要です。
-
ネットワークを設定し、仮想マシンを作成します。
vSphere (ESXi)
vSphereにアップロードする前に、 .ovaイメージをローカルシステムにダウンロードしてください（vSphereは、URLがサポートされる最大長を超える場合、直接URLインポートをサポートしていません）。
Sizing requirements:
- 16 CPU / 32 GB メモリ
- 32 CPU / 64 GB メモリ
- 64 CPU / 128 GB メモリ
To deploy the DLP Appliance:
- host 、 cluster 、またはdatacenterを右クリックしてDeploy OVF Templateを選択します。
- Local file > Upload files Select 、
.ovaファイルを選択して、 Nextをクリックします。 - VM名を入力し、デプロイ場所を選択して、 Nextをクリックします。
- 計算リソースSelect、Nextをクリックします。
- 詳細を確認し、ライセンス契約に同意する場合は、 Nextをクリックしてください。
- データストアおよび仮想ディスクフォーマット(例:Thin Provision)Select、Nextをクリックします。
- ソースネットワークを宛先ネットワークポートにマッピングするには、 Nextをクリックします。
- テンプレート設定をカスタマイズする場合は、 Nextをクリックしてください。
- 概要を確認し、必要に応じてPower on after deploymentチェックを入れ、 Finishをクリックしてください。インスタンスは約30分後に準備完了となります。
GCP
- Compute Engine > VM Instancesに移動してCreate Instanceをクリックしてください。
- Machine Configurationに名前を入力し、「汎用」の下にあるN2を選択してください。
- Machine Typeでは、前提条件のサイジングテーブルに従って選択します。
- OS and Storageで、Changeをクリックし、DLPオンデマンドアプライアンスイメージを選択し、最小サイズ300 GB設定します。
- 必要に応じてネットワークとファイアウォールのセキュリティグループを設定し、 Createをクリックします。インスタンスは約30分後に準備完了となります。
Hyper-V
- Setup DLP on Demandウィンドウからアプライアンス画像をダウンロードしてください。
- Hyper-V Managerを開きます。
- ActionsペインでImport Virtual Machineをクリックします。
- Nextをクリックし、次にBrowseクリックして、エクスポートされたVMファイルの最上位フォルダに移動します。Select Folder > Nextをクリックしてください。
- リストからVMをSelectし、Nextをクリックします。
- Register the virtual machine in-place (use the existing unique ID)を選択してください。
- 確認してFinishをクリックしてください。
- Before starting the instanceVM を右クリックしてSettings > Network Adapterを選択し、適切なネットワークスイッチを選択します。
- アクションペインからVMを始めるか、右クリック> Start。
KVM
-
Setup DLP on Demandウィンドウからアプライアンス画像をダウンロードしてください。
-
テンプレートディレクトリを作成し、展開します。
mkdir dlp-vm-template tar -xvf dlp-appliance.tar
-
QCOW2ディスクイメージを抽出します。
tar -xzvf netskope-dlp-on-demand-kvm-qcow2-*.qcow2.tar.gz -C /home/ubuntu/dlp-vm-template/
-
使う
virt-installをデプロイします:sudo virt-install --name dlp-appliance --ram 65536 --vcpus 32 \ --os-variant ubuntu24.04 \ --disk path=/home/ubuntu/dlp-vm-template/<image_file>.qcow2,size=452 \ --import --network default --check path_in_use=off
-
virt-installコンソールに接続したら、 CTRL+Cを押して終了してください。起動プロセスはバックグランドで続きます。 -
VMの状態を確認する：
sudo virsh list --all -
ネットワークを確認してください:
sudo virsh net-list -
IPアドレスの検索:
sudo virsh net-dhcp-leases default -
SSH経由で接続する：
sudo ssh {username}@{IP}
ステップ5:アプライアンスを接続し、テザーでつなげる
インスタンスが作成されたら、Netskopeに接続して必要な設定やプロファイルをダウンロードする必要があります。
-
インスタンスにユーザー
nsadminとして、デフォルトパスワードnsapplianceでSSH接続します。ssh nsadmin@<instance_ip>
-
デフォルトのパスワードをすぐに変更してください。
nsappliance> auth change-password
-
DNSを設定する（DHCP経由でDNSが提供されない場合）：
nsappliance> configure nsappliance(config)> set dns primary x.x.x.x nsappliance(config)> set dns secondary x.x.x.x nsappliance(config)> save nsappliance(config)> exit
-
使う DHCP ではなく手動でネットワークインターフェースを設定する必要がある場合は:
nsappliance> configure nsappliance(config)> set interface v4 dhcp enable false nsappliance(config)> set interface v4 static enable true nsappliance(config)> set interface v4 static ip x.x.x.x nsappliance(config)> set interface v4 static gw x.x.x.x nsappliance(config)> set interface v4 static netmask x.x.x.x nsappliance(config)> set dns primary x.x.x.x nsappliance(config)> set dns secondary x.x.x.x nsappliance(config)> save nsappliance(config)> exit
-
自動DHCP設定に戻すには：
nsappliance> configure nsappliance(config)> set interface v4 dhcp enable true nsappliance(config)> set dns primary x.x.x.x nsappliance(config)> set dns secondary x.x.x.x nsappliance(config)> save nsappliance(config)> exit
進める前に、アプライアンスでDNS解決が正常に動作しているか確認してください。
-
-
ステップ2で取得したLicense Keyを適用します。
nsappliance> configure nsappliance(config)# set system licensekey <license-key> nsappliance(config)# save nsappliance(config)# exit
-
テザリングの状態を確認してください。値
callhome_reachableはtrueでなければならず、tenant-urlとserialには値が入力されている必要があります。nsappliance> status tethering
Step 6: Configure a Proxy (Optional)
もし組織が送信トラフィックをプロキシ経由でルーティングしているなら、使う アプライアンス CLIを設定してください。
-
プロキシの詳細を設定します。
nsappliance> configure nsappliance(config)# set management-plane upstream-proxy-server hostname 10.10.10.10 nsappliance(config)# set management-plane upstream-proxy-server port 8000 nsappliance(config)# set management-plane upstream-proxy-server username <USERNAME> nsappliance(config)# set management-plane upstream-proxy-server password <PASSWORD> nsappliance(config)# set management-plane upstream-proxy-server trusted-ca
-
PEM形式のサーバーCA証明書（秘密鍵は含まない）をコピーして貼り付けてください。
-
Press
Ctrl-Dwhen done. -
保存して再起動する：
nsappliance(config)# save nsappliance(config)# exit nsappliance> restart dlpaas all
-
信頼できる認証局（CA）を設定する：
nsappliance> configure nsappliance(config)# set management-plane upstream-proxy-server trusted-ca
-
PEM形式のサーバーCA証明書（秘密鍵は含まない）をコピーして貼り付けてください。
<PASTE PEM Formatted CA CHAIN>
-
Press
Ctrl-Dwhen done.<Press Ctrl-D>
-
保存して再起動する：
nsappliance(config)# save nsappliance(config)# exit nsappliance> restart dlpaas all
ステップ7:アプライアンスをサイドカープールにリンクさせる
アプライアンスが展開され稼働した後、DSPMサイドカープールにリンクし、サイドカーがデータサンプルを送って分類できるようにしなければなりません。
詳細な手順については、 DSPM Sidecar Administration 概要の「DLP アプライアンスをサイドカープールにリンクする」セクションをご覧ください。